k9-modz/cve-2023-38873-g1Proof-of-concept, das eine Clickjacking-Schwachstelle auf der G1-Website demonstriert, mit einer bösartigen iframe-Überlagerung und einem Social-Engineering-Popup für die Ausbildung in der Sicherheitsforschung.
Dieses Repository demonstriert eine Sicherheitsschwachstelle vom Typ Clickjacking auf der Website von G1. Die Schwachstelle ermöglicht es einem Angreifer, die Website in einem iframe zu laden und bösartige Elemente zu überlagern, um den Benutzer zu täuschen.
Clickjacking (auch bekannt als UI Redressing) ist ein Angriff, der den Benutzer täuscht, indem er ihn dazu bringt, mit einer legitimen Seite zu interagieren, ohne es zu merken. Dies kann ausgenutzt werden für:
Der HTML-Code dieses Repositorys lädt die Website von in einem und zeigt ein an, das das Herunterladen einer App vorschlägt.
Zu den Risiken gehören:
X-Frame-Options oder Content-Security-Policy.Um Clickjacking-Angriffe zu entschärfen, sollten die Website-Administratoren:
X-Frame-Options hinzufügen, um das Laden in iframes zu verhindern:
X-Frame-Options: DENY
Content-Security-Policy (CSP) implementieren, um iframes einzuschränken:
Content-Security-Policy: frame-ancestors 'none';
Clickjacking ist ein Sicherheitsproblem, das im OWASP Top 10 anerkannt ist, einem der wichtigsten Leitfäden für die Sicherheit von Webanwendungen. Es fällt in die Kategorie A05:2021 – Vulnerable and Outdated Components, da das Fehlen von Schutzheadern gegen iframes Benutzer Angriffen aussetzt.
Weitere Informationen: OWASP Clickjacking
Im MITRE ATT&CK-Framework wird Clickjacking unter der Technik T1204 – User Execution klassifiziert, da es die Interaktion des Benutzers ausnutzt, um Aktionen ohne Einwilligung durchzuführen.
Weitere Informationen: MITRE ATT&CK – T1204
Dieses Repository dient ausschließlich Bildungs- und Sicherheitsforschungszwecken. Verwenden Sie diesen Code nicht für böswillige Zwecke!
Ich habe die index.html geschrieben, die eine Webseite (especiais.g1.globo.com/app-g1/index.html) rendert. Diese Seite hat eine hohe Schwachstelle, da sie kein X-Frame in den Headern enthält. Dadurch können wir eine gesamte Originalseite rendern (und stehlen) und sie auf unserem eigenen Server oder Host hosten, über den wir Kontrolle haben.
[
Im Anfangsbereich der kompromittierten gerenderten Seite habe ich einen Codeblock im Header (head) eingefügt, der nach einer Verzögerung von 2 Sekunden ein Popup auslöst. Dieses Popup wurde strategisch entwickelt, um die Durchführung von Social-Engineering-Techniken zu erleichtern. Dieser Ansatz ermöglicht die Implementierung eines Drive-By-Download-Mechanismus, der das automatische Herunterladen von bösartigen Inhalten direkt auf das Gerät des Benutzers ermöglicht. Sobald der Download abgeschlossen ist, kann der bösartige Code ausgeführt werden, was den Weg für die Installation verschiedener Payloads wie RAT (Remote Access Trojan), Ransomware, Infostealer und andere Cyber-Bedrohungen öffnet.
In diesem Konzeptnachweis habe ich ein Bild hinzugefügt, das geöffnet werden soll:
