Niebezpiecznik

Ataki typu clickjacking przeżywają obecnie swoje odrodzenie. Ich wysyp widać głównie na Facebooku. Użytkowników skłania się do wejścia na ciekawą i z pozoru niegroźną stronę, obiecując, że zobaczą coś niesamowicie interesującego — muszą tylko kliknąć w jakimś miejscu. Poniżej pokazujemy na czym polegają ataki clickjacking i jak się przed nimi uchronić.

Clickjacking: scenariusz ataku “likejacking”

Trafiasz z Facebooka na jakąś stronę. Polecił ci ją na Twojej “ścianie” znajomy. Żeby jednak zobaczyć to najśmieszniejsze, tą najpiękniejszą lub tego największego musisz kliknąć w jakiś obrazek albo link.

Uważaj! “Nad” miejscem wskazanym użytkownikowi do kliknięcia zazwyczaj znajduje się niewidzialna pływająca ramka (<iframe>). Przechwytuje ona kliknięcie i kieruje zupełnie inny przycisk/link, co dla użytkownika kończy się nieświadomym dodaniem do swojego Facebookowego profilu jakiejś strony (konsekwencja naciśnięcia przycisku “lubię to”) lub co gorsza rozesłaniem wiadomości do wszystkich swoich znajomych.

Jeden z ostatnich ataków clickjackingowych na Facebooku. Żeby poznać treść wyroku, trzeba kliknąć na obrazek.

• Zapoznaj się z opublikowaną niedawno na łamach Niebezpiecznika analizą jednej ze złośliwych aplikacji Facebookowych. Dowiesz się jak działa większość ataków Facebookowych.

Poniżej prezentujemy jeszcze jeden przykład clickjackingu. Zalogowany do Twittera internauta wchodzi na stronę z grą. Aby ją rozpocząć musi kliknąć na przycisk start.

Clicjacking na Twitterze

Na stronę z grą nałożona jest przezroczysta, niewidoczna dla użytkownika ramka, ładująca stronę z ustawieniami Twittera. Została ona ustawiona tak, aby przycisk [usuń moje konto z Twittera] znajdował się dokładnie w tym samym miejscu, co przycisk [start gry]. Użytkownik widzi tylko [start gry], ale klikając na niego, tak naprawdę klika w [usuń moje konto z Twittera] …i kasuje sobie konto.

Framebusting chroni przez clickjackingiem

Framebusting to technika pozwalająca danej stronie wyskoczyć z ramki, jeśli któryś z serwisów internetowych postanowi wyświetlić (podkraść) jej treść, np. za pomocą tagu <iframe>. Jako przykład serwisu “podkradającego” strony przez ramki iframe może posłużyć Wykop:

Wykop osadza Niebezpiecznika w ramce

Jeśli strona, która jest podkradana zawiera np. taki kod:

if (top.location != location)
top.location=self.location;

…to w wielu przypadkach z podkradania nici. Skrypty spowodują usunięcie ramki (tutaj: paska wykopu) ponieważ internauta od razu zostanie automatycznie przekierowany na stronę docelową (tę, która była wyświetlana w ramce). Co więcej, tego typu instrukcje mogą zadziałać również w przypadku, gdy zawartość ramki nie jest widzialna dla użytkownika (przezroczystość), tak jak ma to miejsce w obecnych atakach na Facebooka.

Problemy framebustingu

Technik framebustingu trochę jest. Jedne są lepsze, drugie gorsze. Niestety, wiele z nich atakujący może łatwo ominąć. Poniżej lista ataków, które pozwalają ominąc najpopularniejsze zabezpieczenia przed clickjackingiem:

Doubleframing – podwójne ramkowanie

Jeśli kod framebustingu zawiera odwołanie do “parent.location“, atakujący może podwójnie osadzić strone w ramce. Skrypt framebustingowy wyskoczy z pierwszej ramki (do parenta), ale z drugiej już nie…

Zmiana wartości zmiennej location

Większość przeglądarek nie pozwala modyfikować wartości location, ale nie wszystkie. W IE7 i Safari 4 można przedefiniować top.location, co sprawi, że każde odwołanie skryptu framebustingowego do tej zmiennej skończy się niepowodzeniem (skrypt się nie wykona i strona nie wyskoczy z ramki).

Zdarzenie onBeforeUnload

Atakujący może spróbować się podpiąć pod onBeforeUnload i wykrywać próby przekierowania, oczywiście blokując je robiąc redirect na serwer odpowiadający kodem HTTP “204 – No Content“.

var prevent_bust=0
window.onbeforeunload=function() {kill_bust++}
set Interval(function()
{ if (kill_bust>0) {
kill_bust −= 2 ;
window.top.location=’http://no-content−204.com’}
},1);
<iframe src=”http://www.victim.com”>

Sprawdzanie Referrera

Często strony korzystające z framebustingu chcą pozwolić na osadzanie ich w ramkach w obrębie własnego serwisu. Stosują w tym celu sprawdzenie document.referrer — często jednak błędnie (ach te problemy z regexpami…). I tak, przykładowy atak na stronę foobar.com może się udać z domeny foobar.com.zlastrona.pl (bo referrer check przejdzie).

Restricted Zone i Sandboxing

Jeśli do tagu iframe doda się parametr security=restricted, IE zinterpretuje to jako: “osadzana w ramce strona pochodzi z niezaufanej strefy, wyłącz dla niej obsługę skryptów JS i ciasteczek”. Dzięki temu atakujący wyłączy na osadzanej stronie skrypty framebustingowe, ale także obsługę cookies — co akurat powinno utrudnić atak (zerwanie sesji).

Sandboxing jest podobnym rozwiązaniem. Zdefiniowany w HTML5 i zaimplementowany już w Chrome paramter sandbox blokuje skrypty JS, ale nie ciasteczka — to trochę ułatwia sprawę atakującemu.

Tryb document.designMode

Odwołując się do document.designMode można włączyć na stronie tzw. tryb designu (IE8 i Firefox), który objawia się brakiem możliwości wykonywania JavaScriptu, ale nie dotyka ciastek. Framebusting szlag trafi, ale sesji nic nie ruszy.

Hackowanie framebustingu za pomocą filtrów XSS-owych

To chyba najciekawsze rozwiązanie. Korzysta ono z modułów zaimplementowanych w IE i Chrome, a zabezpieczających użytkowników przeglądarek przed atakami XSS. Wystarczy wywołać fałszywy alarm (false positive) pasujący do treści skryptu framebustingowego w atakowanej stronie — resztę zrobi za nas przeglądarka, blokując wykonanie tego skryptu na osadzanej w iframe stronie.

<iframe src=”http://www.victim.com/?v=<script>if">

Mobilna strona

Często serwisy posiadające ochronę przed clickjackingiem zapominają o umieszczeniu swoich skryptów framebustingowych na wersji serwisu przewidzianej dla urządzeń mobilnych. Sporo serwisów nie rozróżnia również sesji mobilnych od normalnych, dzięki czemu atakujący może do ataku clickjackingowego wykorzystać mobilną wersję strony — jeśli ofiara jest zalogowana w atakowanym serwisie to jest również zalogowane w jego mobilnej wersji.

Oprócz separacji mobilnych sesji pomóc może również sprawdzanie zmiennej User-Agent i zezwolenie na dostęp do mobilnej strony tylko urządzeniom, które faktycznie są telefonami komórkowymi, itp.

X-FRAME-OPTIONS

Warto również wspomnieć o nagłówku X-FRAME-OPTIONS jako metodzie ochrony przed clickjackingiem. Nagłówek ten przyjmuje wartości SAMEORIGIN albo DENY. W przypadku pierwszej, przeglądarki które rozumieją ten nagłówek pozwolą na osadzenie strony tylko w obrębie macierzystej domeny. Jeśli ustawione zostanie DENY, strona w ramce nie zostanie w ogóle zinterpretowana.

Nagłówek ten ma jednak kilka wad:

• ciężka implementacja, jeśli chcemy dostosować jego wartość do każdej z podstron na serwerze z osobna.
• brak możliwości zezwolenia na osadzanie w ramce dla innych stron niż macierzysta.
• serwery proxy często usuwają nagłówki HTTP

Najlepsza ochrona przed clickjackingiem

Według badaczy, którzy przeanalizowali 500 najpopularniejszych stron pod kątem wykorzystywanych technik framebustingowych, najlepszy skrypt chroniący naszą stronę przed “zramkowaniem” to:

<style> html {visibility:hidden;} </style>
<script>
if(self == top)
{ document.documentElement.style.visibility="visible"; }
else { top.location = self.location; }
</script>


Minus tego skryptu jest jednak taki, że osoby z wyłączonym JavaScriptem niczego nie zobaczą… no i zapewne też da się je w jakiś sposób obejść.

Zabezpieczenia po stronie klienta

Powyższe skrypty framebustingowe to zabezpieczeniem server-side. Znaczy to tyle, że ofiara ataku jest zdana na administratora danej strony internetowej i to, czy załączy ten lub podobny skrypt framebustingowy. A czy można ochronić się od strony klienta?

Częściowo tak. Użytkownicy Firefoksa mogą skorzystać z dodatku NoScript, który posiada funkcję ClearClick, zaprojektowaną dokładnie po to, aby uniemożliwić ataki typu clickjacking.

Co wybrać?

X-FRAME-OPTIONS a może skrypty? Jeśli skrypty, to jakie? Te z top.location czy może te z visibility:hidden? Decyzja z której z metod ochrony przed clickjackingiem skorzystać należy do was. Którąś z nich na pewno warto zaimplementować na swoich stronach internetowych… Aha i nie zapominajcie o mobilnej wersji swojego serwisu ;-)

Przeczytaj także:

• X-Frame-Options: zacznij stosować
• Ciekawy atak na webaplikacje — “wykradanie” treści z ramek
• Komisja ds. Smoleńska zhackowana?