Bài giảng An ninh mạng - Bài 10: An toàn dịch vụ web - Một số dạng tấn công khác. Sau khi học xong chương này, người học có thể hiểu được một số kiến thức cơ bản về: Clickjacking, Phân tích hành vi nhấp chuột (click), Clickjacking – Cách thức thực hiện, Clickjacking – Một số kỹ thuật, phòng chống clickjacking, phòng chống clickjacking – Frame Bursting, | BÀI 10. AN TOÀN DỊCH VỤ WEB MỘT SỐ DẠNG TẤN CÔNG KHÁC Bùi Trọng Tùng Viện Công nghệ thông tin và Truyền thông Đại học Bách khoa Hà Nội 1 1. CLICKJACKING Bùi Trọng Tùng Viện Công nghệ thông tin và Truyền thông Đại học Bách khoa Hà Nội 2 https tailieudientucntt 1 Nút Like hoạt động như thế nào 3 Nút Like hoạt động như thế nào Yêu cầu Đọc cookie của tên miền Tích hợp được trên các website khác với Các script trên website được tích hợp không thể tự động nhấp nút Like giả mạo thao tác nhấp chuột Cách ly nút Like với các thành phần khác của website How 4 https tailieudientucntt 2 Nút Like hoạt động như thế nào Chính sách SOP ngăn cản các script giả mạo thao tác nhấp chuột 5 Clickjacking Clickjacking hình thức tấn công đánh lừa người dùng nhấp chuột một cách vô ý vào một đối tượng trên website Claim your free iPad 6 https tailieudientucntt 3 Phân tích hành vi nhấp chuột click Người dùng tin tưởng vào thao tác nhấp chuột click như thế nào Tin tưởng vào thị giác Tin tưởng vào thao tác gồm tin Nhìn thấy mục tiêu tưởng vào thị giác vào tương tác Nhìn thấy con trỏ chuột 1. Kiểm tra mục tiêu 2. Chuẩn bị 3. Nhấp chuột nhấp chuột Tin tưởng vào tương tác Targetclicked Targetchecked Pointerclicked Pointerchecked 7 Clickjacking Cách thức thực hiện Evil site trang web chứa mã độc thực hiện tấn công Clickjacking Người dùng bị đánh lừa để tương tác với trang mục tiêu good site Chèn frame chứa nội dung good site vào evil site Phủ chèn một đối tượng web giả mạo lên trang good site và có thể ẩn một vài đối tượng good site Các dạng tấn công Đánh lừa thị giác Giả mạo che giấu đối tượng web Giả mạo che giấu con trỏ chuột Chèn chuỗi tương tác khi nhấp chuột 8 https tailieudientucntt 4 Clickjacking Một số kỹ thuật Che giấu đối tượng mục tiêu Kỹ thuật 1 Sử dụng thuộc tính CSS opacity để che giấu đối tượng web cần click mục tiêu và z-index khi hiển thị đối .
