Kiber hücumçular aşkarlanmamaq üçün davamlı olaraq öz üsullarını inkişaf etdirirlər. İndi onlar zahirən zərərsiz görünən veb-səhifəni zərərli linklərdən ibarət görünməz təbəqə ilə gizlədə bilərlər. Klikləmə kimi tanınan bu hücum üsulu veb-kameranızı aktivləşdirməyinizə və ya bank hesabınızdan pul köçürməyinizə səbəb ola bilər.

Clickjacking nədir?

Clickjacking (və ya klik qaçırma) veb-saytın istifadəçi interfeysi üzərində görünməyən zərərli linkin yerləşdirildiyi kiberhücumKiber hücumçular aşkarlanmamaq üçün davamlı olaraq öz üsullarını inkişaf etdirirlər. İndi onlar zahirən zərərsiz görünən veb-səhifəni zərərli linklərdən ibarət görünməz təbəqə ilə gizlədə bilərlər. Klikləmə kimi tanınan bu hücum üsulu veb-kameranızı aktivləşdirməyinizə və ya bank hesabınızdan pul köçürməyinizə səbəb ola bilər.
Clickjacking nədir?Clickjacking (və ya klik qaçırma) veb-saytın istifadəçi interfeysi üzərində görünməyən zərərli linkin yerləşdirildiyi kiberhücum növüdür. Klikləmə qanuni səhifənin yuxarısına yüklənmiş görünməz iframe qatında baş verdiyi üçün ziyarətçilər adətən klik hücumunun nə vaxt baş verdiyini müəyyən edə bilmirlər.

Klik hücumunda iki qurban var – ev sahibi veb sayt və ziyarətçi. Ev sahibi veb-sayt klik hücumunu asanlaşdırmaq üçün platforma kimi istifadə olunur və ziyarətçi hücumun xüsusi niyyətinin qurbanı olur. Bəzi ümumi klik hücumlarına aşağıdakılar daxildir: • Giriş etimadnaməsinin oğurlanması• Veb kamera və ya mikrofonun aktivləşdirilməsi• Zərərli proqram yükləmələrinin dəvəti• Pul köçürmələrinə icazə verilməsi• İstenmeyen məhsul alışları• Yerinizin müəyyən edilməsi Clickjacking niyyətləri bu siyahı ilə məhdudlaşmır. İstifadəçi interfeysləri istənilən növ əlaqə ilə gizlənə bildiyindən (UI redressing), dağıdıcı seçimlər sonsuzdur. Klikləmə nümunələri Ən bədnam klik hücumlarına dair bəzi nümunələr Pul köçürmələri fırıldaqları Bu UI bərpa hücumunda təcavüzkar sizi aldadır ki, bank hesabınızdan pul köçürməsinə icazə verən zərərli səhifədəki linkə klikləyin. Budur prosesə ümumi baxış: Birincisi, qurbana e-poçtdakı bir keçiddən yüklənə bilən zahirən zərərsiz veb sayt təqdim olunur. Bu cür vebsaytlar adətən pulsuz hədiyyə və ya bayram sövdələşməsi kimi qarşısıalınmaz təklifi təbliğ edir. Veb sayt yükləndikdə və qurban “pulsuz hədiyyə” tələb etmək üçün düyməni kliklədikdə, onlar əslində görünməz veb tətbiqi təbəqəsində pul köçürməsinin təsdiqlənməsi linkinə klikləyirlər. Qurban həmin anda bankına daxil olarsa, onların pulları dərhal təcavüzkarın hesabına köçürüləcək.Budur prosesə ümumi baxış: Birincisi, qurbana e-poçtdakı bir keçiddən yüklənə bilən zahirən zərərsiz veb sayt təqdim olunur. Bu cür vebsaytlar adətən pulsuz hədiyyə və ya bayram sövdələşməsi kimi qarşısıalınmaz təklifi təbliğ edir. Veb sayt yükləndikdə və qurban “pulsuz hədiyyə” tələb etmək üçün düyməni kliklədikdə, onlar əslində görünməz veb tətbiqi təbəqəsində pul köçürməsinin təsdiqlənməsi linkinə klikləyirlər. Qurban həmin anda bankına daxil olarsa, onların pulları dərhal təcavüzkarın hesabına köçürüləcək. Arxa planda istənməyən köçürmə baş verərkən, qurban “pulsuz hədiyyə” haqqında daha çox məlumat olan səhifəyə yönləndirilir. Veb kamera və mikrofonun aktivləşdirilməsi Bu klik hücumunda istifadəçinin adobe flash parametrləri görünməz şəkildə başqa link üzərində yüklənir. Yoluxmuş linkə kliklədikdə, istifadəçilər təcavüzkarlara veb-kamera və mikrofonlarına giriş imkanı vermək üçün Adobe flash plug-in parametrlərini dəyişdirirlər.

Likejacking

Bəyənmə hücumunda istifadəçilər təqdim olunan linkə kliklədikləri zaman Facebook səhifəsinin “bəyənməsi” düyməsini sıxmaq üçün aldadılırlar. Hücumun uğurlu olması üçün linkə kliklədikdə istifadəçi Facebook-a daxil olmalıdır. Sosial media hesabları da kliklərə qarşı həssasdır. Twitter 2009-cu ildə tvit bombası kimi tanınan uğurlu hücumun qurbanı oldu. Tvit bombası, istifadəçilərin tvit edilmiş linkə kliklədiyi, sonra açılan veb-səhifədəki kliklənmiş linkə kliklədiyi, sonra isə həmin orijinal linki öz hesablarında tweetləyən, izləyicilərini linki tıklamağa təşviq edən və s.

Cursorjacking

cursorjacking, dublikat kursorun yaradıldığı və müəyyən bir ofsetdə real kursora əlavə edildiyi klikləmə formasıdır. Yalnız dublikat kursor görünür. Təcavüzkar istifadəçinin klikləyəcəyini bildiyi ekranın xüsusi sahəsi varsa, onlar strateji olaraq həqiqi gizli kursoru əvəzləyə bilər ki, saxta kursor bu sahəyə manevr edildikdə, zərərli link kliklənsin. Kursor oğurlanması Firefox-da boşluqlar səbəbindən mümkün olub. Bu təhlükəsizlik qüsurları Firefox 30-da düzəldilib. Zərərli proqram yükləmələriTəcavüzkar istifadəçi qaçırılmış linki kliklədikdə zərərli proqramın endirilməsinə başlaya bilər. Zərərli proqram sistemin proqram təminatını korlaya bilər və ya qabaqcıl davamlı təhdidlər üçün şlüz yarada bilər. Clickjacking hücumlarının qarşısının alınmasıƏgər klikləmə müdafiəsini tətbiq etməzdən əvvəl veb saytınızın zəifliyini ölçmək istəyirsinizsə. bu OWASP klikləmə fırıldaqçı vərəqinə baxın. Clickjacking azaldılması həm müştəri tərəfində, həm də server tərəfində əldə edilə bilər. Gəlin hər iki ssenari üçün variantları müzakirə edək. Server tərəfində kliklərin qarşısının alınması Çoxlu klik hücumları qanuni veb-saytların dublikatlarında baş verir. Təcavüzkar veb saytınızı klonlaya və onun üstündə gizlənmiş oğurlanmış bağlantılarla silahlandıra bilər. İstifadəçilər üçün dağıdıcı nəticələrlə yanaşı, biznesinizin reputasiyasına düzəlməz zərər dəyə bilər.

İzin ver-yuxarı naviqasiya atributunu buraxmaqla, saxta veb-səhifəni ehtiva edən iframe görünməz səhifənin yuxarı hissəsinə yüklənə bilməz. Bu müdafiə ilə təcavüzkar brauzerə skriptləri işə salmağa və formalar göndərməyə icazə verə bilər. Çərçivənin məhv edilməsi skriptləri klik hücumlarına qarşı tövsiyə olunan müdafiə deyil. Bir çox veb-brauzerlər Javascript kodunu sındıran çərçivəni bloklayır və belə olmayan brauzerlər asanlıqla aldadıla bilər ki, zərərli üst-üstə düşməyə icazə verilir. Standford Veb Təhlükəsizliyi Qrupu tərəfindən aparılan bir araşdırma, çərçivənin məhv edilməsi üsullarının klikləmə zəifliklərini təsvir edir.

2. Brauzer genişləndirmələrini quraşdırın

Anti-clickjacking brauzer uzantıları ən yaxşı istifadəçi təcrübəsini təmin etmir, çünki yüklənmiş veb
saytlarda bütün javascriptləri söndürür. Facebook, Twitter və Youtube kimi bir çox məşhur veb-saytlar Javascript-də işləyir və bu genişlənmələr onların funksionallığına mane olacaq. Etibarlı saytlarda Javascript təcrübəsini saxlamaq üçün ağ siyahını əl ilə təyin etməlisiniz Burada müxtəlif brauzerlər
üçün Javascript bloklayan əlavələrin siyahısı verilmişdir.

ChromeScriptsafe Chrome üçün əlavədir. Mozilla FirefoxNoScript Mozilla Firefox brauzeri əlavəsidir. SafariJS Blocker Safari brauzerinin uzantısıdır. Microsoft EdgeJavascript Toggle ON və Off Microsoft Edge-də quraşdıra biləcəyiniz əlavədir. DuckDuckGoDuckduckgo-da quraşdıra biləcəyiniz Javascript bloklama əlavəsi yoxdur, lakin onlar Javascript saytlarını bloklamaq üçün xüsusi olaraq hazırlanmış alternativ brauzer təklif edirlər. Bu brauzerə buradan daxil ola bilərsiniz. İnternet ExplorerInternet Explorer-də Javascript-i söndürmək üçün bu prosesi edin:1. Yuxarı sağ küncdəki dişli çarxı seçin və ya ALT+X düymələrini basın2. Açılan menyudan ‘İnternet seçimləri’ seçin3. “Təhlükəsizlik” sekmesine klikləyin4. “Fərdi səviyyə” üzərinə klikləyin5. ‘Aktiv Skript’ altında ‘Disable-ON’ seçin6. Təsdiq etmək üçün ‘Bəli’ seçin