clickjacking攻击：

clickjacking攻击又称为点击劫持攻击，是一种在网页中将恶意代码等隐藏在看似无害的内容（如按钮）之下，并诱使用户点击的手段。

clickjacking攻击场景：

用户进入到一个网页中，里面包含了一个按钮（查看照片），但是这个按钮上面加载了一个透明的iframe标签，这个iframe标签加载了另外一个网页，并且他将这个网页的某个按钮和网页中的按钮（查看照片）重合，所以你在点击按钮（查看照片的时候）实际上点的是通过iframe加载的另外一个网页的按钮，比如我现在有一个csdn的用户账号，现在想要用户点击关注。那么我们就可以准备以下页面：
  1. <!DOCTYPE html>
  2. <html lang="en">
  3. <head>
  4.     <meta charset="UTF-8">
  5.     <title>Clickjacking</title>
  6.     <style>
  7.         iframe {
  8.             width: 100%;
  9.             height: 100%;
  10.             display: block;
  11.             position: absolute;  /*指定iframe和button为绝对定位*/
  12.             z-index: 20;  /*指定在垂直方向上的高低*/
  13.             opacity: 0.01;
  14.             /*指定透明度*/
  15.             <!--注意，iframe的透明度不能设置为0，如果设置为0的话，就不能接受任何的点击事件了-->
  16.         }
  17.         button {
  18.             position: absolute;
  19.             left: 40px;
  20.             top: 65px;
  21.             z-index: 10;
  22.         }
  23.     </style>
  24. </head>
  25. <body>
  26. <h2>哇塞，这张照片里怎么会有我！快来看看有没有你吧！</h2>
  27. <button>查看照片</button>
  28. <iframe src="https://blog.csdn.net/zjy123078_zjy/" frameborder="0"></iframe>
  29. </body>
  30. </html>
clickjacking防御：我们可以设置我们的网页不允许使用iframe被加载到其他网页中就可以避免这种情况了，我们可以通过在响应头中设置X-Frame-Options来设置这种操作，X-Frame-Options可以设置以下三个值：
（1）DEBY:不允许任何网页使用iframe加载我这个页面。
（2）SAMEORIGIN:只允许在相同域名（也就是自己的网站）下使用iframe加载这个页面。
（3）ALLOWED-FROM origin: 允许任何网页通过iframe加载我这个网页。
在Django中，使用中间件django.middleware.clickjacking.XFrameOptionsMiddleware可以帮我们堵上这个漏洞，这个中间件设置了一个X-Frame-Option为DENY,也就是不允许任何网页使用iframe加载这个网页，这样就可以避免其他的别有用心的网页去通过iframe加载了。

我们可以查看一下网页源代码，如下：

  1. class XFrameOptionsMiddleware(MiddlewareMixin):
  2.     """
  3.     Set the X-Frame-Options HTTP header in HTTP responses.
  5.     Do not set the header if it's already set or if the response contains
  6.     a xframe_options_exempt value set to True.
  8.     By default, set the X-Frame-Options header to 'SAMEORIGIN', meaning the
  9.     response can only be loaded on a frame within the same site. To prevent the
  10.     response from being loaded in a frame in any site, set X_FRAME_OPTIONS in
  11.     your project's Django settings to 'DENY'.
  12.     """
  13.     def process_response(self, request, response):
  14.         # Don't set it if it's already in the response
  15.         if response.get('X-Frame-Options') is not None:
  16.             return response
  18.         # Don't set it if they used @xframe_options_exempt
  19.         if getattr(response, 'xframe_options_exempt', False):
  20.             return response
  22.         response['X-Frame-Options'] = self.get_xframe_options_value(request,
  23.                                                                     response)
  24.         return response
  26.     def get_xframe_options_value(self, request, response):
  27.         """
  28.         Get the value to set for the X_FRAME_OPTIONS header. Use the value from
  29.         the X_FRAME_OPTIONS setting, or 'DENY' if not set.
  31.         This method can be overridden if needed, allowing it to vary based on
  32.         the request or response.
  33.         """
  34.         return getattr(settings, 'X_FRAME_OPTIONS', 'DENY').upper()
所以，在我们使用django创建项目的时候，默认的情况下，Django就会默认的帮我们定义一个处理“点击劫持攻击”的中间件，默认情况下就是开启的。

158.Clickjacking点击劫持攻击实现和防御措施的更多相关文章

  1. 基于iframe的CFS(Cross Frame Script)和Clickjacking(点击劫持)攻击

    攻击原理:     CFS攻击(Cross Frame Script(跨框架脚本)攻击)是利用浏览器允许框架(frame)跨站包含其它页面的漏洞,在主框架的代码 中加入scirpt,监视.盗取用户输入 ...

  2. Web前端攻击方式及防御措施

    一.XSS [Cross Site Script]跨站脚本攻击 恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用户 ...

  3. 简单了解：Web前端攻击方式及防御措施

    一.XSS [Cross Site Script]跨站脚本攻击  恶意攻击者往Web页面里插入恶意Script代码,当用户浏览该页之时,嵌入其中Web里面的Script代码会被执行,从而达到恶意攻击用 ...

  4. XSS攻击原理及防御措施

    概述 XSS攻击是Web攻击中最常见的攻击方法之一,它是通过对网页注入可执行代码且成功地被浏览器 执行,达到攻击的目的,形成了一次有效XSS攻击,一旦攻击成功,它可以获取用户的联系人列 表,然后向联系 ...

  5. DDOS常见攻击类型和防御措施

    DDOS 攻击类型: SYN Flood 攻击 ACK Flood 攻击 UDP Flood 攻击 ICMP Flood 攻击 Connection Flood 攻击 HTTP Get 攻击 UDP ...

  6. 点击劫持ClickJacking

    原文:https://beenle-xiaojie.github.io/2019/01/07/ClickJacking/ 引言 当我们的页面嵌入到一个iframe中时,安全测试提出一个于我而言很新鲜的 ...

  7. CSRF、XSS、clickjacking、SQL 的攻击与防御

    CSRF攻击 原理: 跨站请求伪造.是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法. 网站通过cookie来实现登录功能.而cookie只要存在浏览器中,那么浏览器在访问含有这 ...

  8. 点击劫持（click jacking）

    什么是点击劫持劫持原理劫持案例代码示例优酷频道刷粉的POC腾讯微博刷粉防御 什么是点击劫持 点击劫持,clickjacking,也被称为UI-覆盖攻击.这个词首次出现在2008年,是由互联网安全专家罗 ...

  9. CSS劫持攻击

    CSS劫持攻击 CSS劫持是一种并不很受重视的劫持方式,但是其也有一定的危害,且由于其并不一定需要依赖JavaScript,这使得此种攻击方式更容易实现. ClickJacking点击劫持 当访问某网 ...

随机推荐

  1. Kubernetes CI／CD（2）

    本章节通过在Jenkins创建一个kubernetes云环境,动态的在kubernetes集群中创建pod完成pipeline的构建流程,关于直接在宿主机上搭建Jenkins集群的可参照Kuberne ...

  2. sublime中写python代码

    SublimeREPL插件 这个是首先要安装的,此插件主要功能是为了实现交互,在安装后需要一些简单的配置 在Preferences--> Key Bindings--> user下添加如下 ...

  3. MSSQL sqlserver 统计"一个字符串"在"另一个字符串"中出现的次数的方法

    转自 http://www.maomao365.com/?p=9858  摘要: 下文讲述sqlserver中最快获取一个字符串在另一个字符串中出现个数的方法分享 实验环境:sql server 20 ...

  4. KVM | centos 安装 window 虚拟机

    KVM | centos 安装 window 虚拟机 环境: CENTOS 7.3 1. 准备 1.1 检查是否支持虚拟化 cat /proc/cpuinfo | egrep 'vmx|svm' 要求 ...

  5. springboot容器加载完毕执行某一个方法

    问题: 最近做项目(项目使用的是springboot)的时候,数据库有一个配置参数表,每次都要查询数据库去做数据转换,这样每次查询数据库感觉不太友好,后来写了一个方法项目启动完成后立即执行此方法,将配 ...

  6. Mac搭建本地服务器并映射到外网

    最近在学习Html,小有进步变想着写一个浪漫的静态页面给女朋友浪漫一下,那么问题就来了,如何把我的网页让对网络一窍不通的女朋友看到,所以便想到了是用自己电脑作为服务器的想法.百度以后整理如下: 首先搭 ...

  7. idea中MavenWeb项目不能创建Servlet的解决办法

    问题 学习完maven后,用maven创建了一个web项目,然后在这个web项目中创建了一个java文件夹并标记这个目录为源码根目录,当我准备创建一个Servlet的时候发现没有,如下图 解决办法 1 ...

  8. itest(爱测试) 4.4.0 发布，开源BUG 跟踪管理 & 敏捷测试管理软件

    itest 简介 test 开源敏捷测试管理,testOps 践行者.可按测试包分配测试用例执行,也可建测试迭代(含任务,测试包,BUG)来组织测试工作,也有测试环境管理,还有很常用的测试度量:对于发 ...

  9. MySQL 8 服务器组件

    MySQL 服务器包含了一个基于组件的架构,用于扩展服务器功能.服务器和其他组件可以使用组件提供的服务.(在使用服务方面,服务器也是一个组件,等同于其他组件).组件之间交互仅通过他们各自提供的服务. ...

  10. C++析构、拷贝、赋值、移动拷贝函数的几个知识点（不全）

    怕忘了,写这:析构函数不会释放指针成员指向的对象. 众所周知,C++的类如果没有默认构造函数,会自动生成一个. 同理,如果没有复制构造函数即A::A(const A&){}这个函数 ,则系统也 ...