Clickjacking (redressage de l’interface utilisateur et superposition de IFRAME)

Le clickjacking (également connu sous le nom de redressage de l'interface utilisateur et superposition de IFRAME) est un exploit dans lequel un code malveillant est caché sous des boutons apparemment légitimes ou tout autre contenu cliquable sur un site Web. Voici un exemple parmi de nombreuses possibilités : Lorsqu'un visiteur se rend sur un site Web, il pense qu'il ferme une fenêtre du navigateur. Au lieu de cela, en cliquant sur le bouton "X", l'ordinateur installe un cheval de Troie et transfère des fonds sur son compte bancaire. Il active également le microphone et la webcam intégrés. Il peut s'agir d'un site Web légitime qui a été compromis ou d'une version altérée d'un site bien connu. L'attaquant incite les utilisateurs à visiter le site par le biais de liens en ligne ou dans des messages électroniques. Les chercheurs Jeremiah Grossman et Robert Hansen ont découvert cette vulnérabilité. Voici comment les chercheurs la décrivent : On peut penser à tous les boutons disponibles sur un site Web, qu'ils soient internes ou externes. Ces boutons peuvent apparaître dans le mur du navigateur, les virements bancaires, les boutons Digg et les bannières CPC. Ce sont tous des exemples relativement bénins. Ensuite, considérons qu'une attaque peut faire passer ces boutons de manière invisible sous la souris des utilisateurs, de sorte que lorsqu'ils cliquent sur quelque chose qu'ils voient visuellement, ils cliquent en fait sur quelque chose que l'attaquant veut qu'ils fassent. [...] Supposons que vous ayez un routeur sans fil domestique que vous avez authentifié avant d'aller sur un site web. Le code malveillant pourrait intégrer une balise sous votre souris pour permettre au routeur, par exemple, de supprimer toutes les règles du pare-feu.