Clickjacking
क्लिकजैकिंग (यूजर इंटरफेस रिड्रेस अटैक या यू. आई. रिड्रेसिंग के रूप में वर्गीकृत) एक उपयोगकर्ता को धोखा देने की एक दुर्भावनापूर्ण तकनीक है जो उपयोगकर्ता जो समझता है उससे कुछ अलग पर क्लिक करने के लिए है, इस प्रकार संभावित रूप से गोपनीय जानकारी का खुलासा करता है या दूसरों को अपने कंप्यूटर पर नियंत्रण रखने की अनुमति देता है। क्लिकजैकिंग भ्रमित उप समस्या का एक उदाहरण है, जिसमें एक कंप्यूटर को अपने अधिकार का दुरुपयोग करने के लिए धोखा दिया जाता है। 2002 में, यह नोट किया गया था कि एक वेब पेज पर एक पारदर्शी परत को लोड करना संभव था और उपयोगकर्ता के इनपुट से उपयोगकर्ता को ध्यान में रखे बिना पारदर्शी परत को प्रभावित करना संभव था। हालाँकि, 2008 तक इसे मुख्य रूप से एक प्रमुख मुद्दे के रूप में नजरअंदाज कर दिया गया था। 2008 में, जेरेमिया ग्रॉसमैन और रॉबर्ट हैनसेन ने पाया था कि एडोब फ्लैश प्लेयर को क्लिकजैक किया जा सकता है, जिससे एक हमलावर उपयोगकर्ता की जानकारी के बिना कंप्यूटर तक पहुंच प्राप्त कर सकता है। "क्लिकजैकिंग" शब्द जेरेमिया ग्रॉसमैन और रॉबर्ट हैनसेन द्वारा गढ़ा गया था, जो "क्लिक" और "अपहरण" शब्दों का एक संयोजन है। जैसे-जैसे इसी तरह के अधिक हमलों की खोज की गई, इन हमलों की श्रेणी का वर्णन करने के लिए "यू. आई. रिड्रेसिंग" शब्द का फोकस बदल दिया गया, न कि केवल क्लिकजैकिंग। क्लिकजैकिंग का एक रूप उन कमजोरियों का लाभ उठाता है जो अनुप्रयोगों या वेब पृष्ठों में मौजूद होती हैं ताकि हमलावर अपने लाभ के लिए उपयोगकर्ता के कंप्यूटर में हेरफेर कर सके। उदाहरण के लिए, एक क्लिकजैक पृष्ठ एक उपयोगकर्ता को छिपे हुए लिंक पर क्लिक करके अवांछित कार्य करने के लिए उकसाता है। क्लिकजैक किए गए पृष्ठ पर, हमलावर उपयोगकर्ता को कार्रवाई करने के लिए धोखा देने के लिए एक पारदर्शी परत में मूल पृष्ठ पर एक और पृष्ठ लोड करते हैं, जिसके परिणाम उपयोगकर्ता की अपेक्षा के समान नहीं होंगे। संदेहहीन उपयोगकर्ता सोचते हैं कि वे दिखाई देने वाले बटनों पर क्लिक कर रहे हैं, जबकि वे वास्तव में अदृश्य पृष्ठ पर कार्रवाई कर रहे हैं, परत के नीचे पृष्ठ के बटनों पर क्लिक कर रहे हैं। छिपा हुआ पृष्ठ एक प्रमाणीकरण पृष्ठ हो सकता है; इसलिए, हमलावर उपयोगकर्ताओं को ऐसे कार्यों को करने के लिए धोखा दे सकते हैं जो उपयोगकर्ता कभी नहीं चाहते थे। बाद में हमलावरों के लिए इस तरह की कार्रवाइयों का पता लगाने का कोई तरीका नहीं है, क्योंकि उपयोगकर्ताओं को वास्तव में छिपे हुए पृष्ठ पर प्रमाणित किया गया होगा। क्लिकजैकिंग श्रेणियाँ क्लासिकः ज्यादातर एक वेब ब्राउज़र के माध्यम से काम करता है जैसे जैकिंगः फेसबुक की सोशल मीडिया क्षमताओं का उपयोग करता है नेस्टेडः गूगल + कर्सरजैकिंग को प्रभावित करने के लिए अनुकूलित क्लिकजैकिंगः कर्सर की उपस्थिति और स्थान में हेरफेर करता है माउसजैकिंगः दूरस्थ आर. एफ. लिंक के माध्यम से कीबोर्ड या माउस इनपुट इंजेक्ट करता है ब्राउज़र रहितः ब्राउज़र कुकीजैकिंग का उपयोग नहीं करता हैः ब्राउज़र से कुकीज़ प्राप्त करता है फ़ाइलजैकिंगः प्रभावित डिवाइस को फ़ाइल सर्वर पासवर्ड मैनेजर हमले के रूप में स्थापित करने में सक्षमः क्लिकजैकिंग जो ब्राउज़र की ऑटोफिल क्षमता में एक भेद्यता का उपयोग करता है क्लासिक क्लासिक क्लिकजैकिंग एक ऐसी स्थिति को संदर्भित करता है जब एक हमलावर वेब पृष्ठों पर छिपी हुई परतों का उपयोग करता है ताकि उपयोगकर्ता के कर्सर द्वारा किए गए कार्यों में हेरफेर किया जा सके। एक उपयोगकर्ता को एक समाचार वस्तु के बारे में एक वीडियो के लिंक के साथ एक ईमेल प्राप्त हो सकता है, लेकिन एक अन्य वेबपेज, जैसे कि अमेज़ॅन पर एक उत्पाद पृष्ठ, समाचार वीडियो के "प्ले" बटन के ऊपर या नीचे "छिपा" हो सकता है। उपयोगकर्ता वीडियो को "चलाने" की कोशिश करता है लेकिन वास्तव में अमेज़न से उत्पाद "खरीदता" है। हैकर केवल एक क्लिक भेज सकता है, इसलिए वे इस तथ्य पर भरोसा करते हैं कि आगंतुक दोनों अमेज़ॅन में लॉग इन हैं और 1-क्लिक ऑर्डर सक्षम है। जबकि क्रॉस-ब्राउज़र असंगतियों के कारण इन हमलों का तकनीकी कार्यान्वयन चुनौतीपूर्ण हो सकता है, बी. ई. एफ. या मेटास्प्लॉइट प्रोजेक्ट जैसे कई उपकरण कमजोर वेबसाइटों पर ग्राहकों का लगभग पूरी तरह से स्वचालित शोषण प्रदान करते हैं। क्लिकजैकिंग को एक्सएसएस जैसे अन्य वेब हमलों द्वारा-या सुविधा प्रदान की जा सकती है। लाइकजैकिंग एक वेबसाइट देखने वाले उपयोगकर्ताओं को किसी फेसबुक पेज या अन्य सोशल मीडिया पोस्ट/खातों को "पसंद" करने के लिए धोखा देने की एक दुर्भावनापूर्ण तकनीक है, जिनका उनका जानबूझकर "पसंद" करने का मतलब नहीं था। "लाइकजैकिंग" शब्द वेब पर किसी भी चीज़ को कैसे "लाइक" करें (सुरक्षित रूप से) लेख में कोरी बैलू द्वारा पोस्ट की गई एक टिप्पणी से आया है, जो फेसबुक के "लाइक" बटन के संबंध में दुर्भावनापूर्ण गतिविधि की संभावना को समझाने वाली पहली प्रलेखित पोस्टिंग में से एक है। आई. ई. ई. ई. स्पेक्ट्रम के एक लेख के अनुसार, फेसबुक के एक हैकाथॉन में लाइकजैकिंग का समाधान विकसित किया गया था। एक "लाइक" बुकमार्कलेट उपलब्ध है जो फेसबुक लाइक बटन में मौजूद लाइकजैकिंग की संभावना से बचाता है। नेस्टेड नेस्टेड क्लिकजैकिंग, क्लासिक क्लिकजैकिंग की तुलना में, मूल, हानिरहित वेब पेज के दो फ्रेमों के बीच एक दुर्भावनापूर्ण वेब फ्रेम को एम्बेड करके काम करता हैः वह फ्रेम किए गए पेज से और जो शीर्ष विंडो पर प्रदर्शित होता है। यह एच. टी. टी. पी. हेडर एक्स-फ्रेम-ऑप्शंस में एक भेद्यता के कारण काम करता है, जिसमें, जब इस तत्व का मान समान होता है, तो वेब ब्राउज़र केवल उपरोक्त दो परतों की जांच करता है। तथ्य यह है कि इन दोनों के बीच अतिरिक्त फ्रेम जोड़े जा सकते हैं जबकि अज्ञात रहने का मतलब है कि हमलावर अपने लाभ के लिए इसका उपयोग कर सकते हैं। अतीत में, गूगल + और एक्स-फ्रेम-ऑप्शंस के दोषपूर्ण संस्करण के साथ, हमलावर गूगल के छवि खोज इंजन में मौजूद भेद्यता का उपयोग करके अपनी पसंद के फ्रेम डालने में सक्षम थे। इमेज डिस्प्ले फ्रेम के बीच में, जो Google + में भी मौजूद थे, ये हमलावर-नियंत्रित फ्रेम लोड करने में सक्षम थे और प्रतिबंधित नहीं थे, जिससे हमलावरों को इमेज डिस्प्ले पेज पर आने वाले किसी भी व्यक्ति को गुमराह करने की अनुमति मिली। कर्सरजैकिंग एक यू. आई. रिड्रेसिंग तकनीक है जो कर्सर को उस स्थान से बदलने के लिए है जिसे उपयोगकर्ता समझता है, जिसे 2010 में Vulnerability.fr के एक शोधकर्ता एडी बोर्डी द्वारा खोजा गया था, मार्कस निमित्ज़ ने इसे एक कस्टम कर्सर आइकन के साथ प्रदर्शित किया, और 2012 में मारियो हाइडेरिच ने कर्सर को छिपा कर। Alternativ-Testing.fr के एक शोधकर्ता जॉर्डी चांसल ने मैक ओएस एक्स सिस्टम (फ़ायरफ़ॉक्स 30 में तय) पर मोज़िला फ़ायरफ़ॉक्स में फ़्लैश, एचटीएमएल और जावास्क्रिप्ट कोड का उपयोग करके एक कर्सरजैकिंग भेद्यता की खोज की, जिससे मनमाने ढंग से कोड निष्पादन और वेबकैम जासूसी हो सकती है। मैक ओएस एक्स सिस्टम पर मोज़िला फ़ायरफ़ॉक्स में जॉर्डी चांसल द्वारा एक बार फिर फ्लैश, एचटीएमएल और जावास्क्रिप्ट कोड का उपयोग करके एक दूसरी कर्सरजैकिंग भेद्यता की खोज की गई, जो एक वेबकैम के माध्यम से जासूसी और एक दुर्भावनापूर्ण ऐडऑन के निष्पादन का कारण भी बन सकता है, जिससे प्रभावित उपयोगकर्ता के कंप्यूटर पर मैलवेयर के निष्पादन की अनुमति मिलती है। माउस जैक अन्य क्लिकजैकिंग तकनीकों से अलग है जो एक यूआई का निवारण करती है, माउस जैक एक वायरलेस हार्डवेयर-आधारित यूआई भेद्यता है जिसे पहली बार 2016 में Bastille.net के मार्क न्यूलिन द्वारा रिपोर्ट किया गया था जो बाहरी कीबोर्ड इनपुट को कमजोर डोंगल में इंजेक्ट करने की अनुमति देता है। लॉजिटेक ने फर्मवेयर पैच की आपूर्ति की लेकिन अन्य निर्माता इस भेद्यता का जवाब देने में विफल रहे। ब्राउज़रलेस क्लिकजैकिंग में, हमलावर वेब ब्राउज़र की उपस्थिति का उपयोग करने की आवश्यकता के बिना, उनमें क्लासिक क्लिकजैकिंग को दोहराने के लिए कार्यक्रमों में कमजोरियों का उपयोग करते हैं। क्लिकजैकिंग की यह विधि मुख्य रूप से मोबाइल उपकरणों के बीच प्रचलित है, आमतौर पर एंड्रॉइड उपकरणों पर, विशेष रूप से जिस तरह से टोस्ट सूचनाएं काम करती हैं। क्योंकि सूचना का अनुरोध किए जाने के क्षण और सूचना वास्तव में ऑन-स्क्रीन प्रदर्शित होने के क्षण के बीच में टोस्ट अधिसूचनाओं में थोड़ी देरी होती है, हमलावर उस अंतराल का उपयोग करके एक नकली बटन बनाने में सक्षम होते हैं जो अधिसूचना के नीचे छिपा होता है और फिर भी उस पर क्लिक किया जा सकता है। कुकीजैकिंग क्लिकजैकिंग का एक रूप है जिसमें पीड़ित के वेब ब्राउज़र से कुकीज़ चोरी हो जाती हैं। यह उपयोगकर्ता को किसी ऐसी वस्तु को खींचने के लिए धोखा देकर किया जाता है जो प्रतीत होता है कि हानिरहित है, लेकिन वास्तव में उपयोगकर्ता को लक्षित की जा रही कुकी की पूरी सामग्री का चयन करने के लिए मजबूर कर रहा है। वहाँ से, हमलावर कुकी और उसके पास मौजूद सभी डेटा प्राप्त कर सकता है। फाइलजैकिंग में, हमलावर व्यक्तिगत डेटा प्राप्त करने के लिए कंप्यूटर के माध्यम से नेविगेट करने और कंप्यूटर फ़ाइलों तक पहुंचने के लिए वेब ब्राउज़र की क्षमता का उपयोग करते हैं। यह उपयोगकर्ता को एक सक्रिय फ़ाइल सर्वर स्थापित करने के लिए धोखा देकर ऐसा करता है (फ़ाइल और फ़ोल्डर चयन विंडो के माध्यम से जो ब्राउज़र उपयोग करते हैं)। इसके साथ, हमलावर अब अपने पीड़ितों के कंप्यूटरों से फ़ाइलों तक पहुँच सकते हैं और ले सकते हैं। पासवर्ड प्रबंधक हमला कार्नेगी मेलन विश्वविद्यालय के शोधकर्ता के 2014 के एक पेपर में पाया गया कि ब्राउज़र स्वचालित रूप से भरने से इनकार करते हैं यदि वर्तमान लॉगिन पृष्ठ पर प्रोटोकॉल उस समय के प्रोटोकॉल से अलग है जब पासवर्ड सहेजा गया था, तो कुछ पासवर्ड प्रबंधक असुरक्षित रूप से HTTPS-सहेजे गए पासवर्ड के HTTP संस्करण के लिए पासवर्ड भरेंगे। अधिकांश प्रबंधकों ने आईफ्रेम-और पुनर्निर्देशन-आधारित हमलों से सुरक्षा नहीं की और अतिरिक्त पासवर्ड को उजागर किया जहां कई उपकरणों के बीच पासवर्ड सिंक्रनाइज़ेशन का उपयोग किया गया था। क्लिकजैकिंग के खिलाफ रोकथाम क्लाइंट-साइड नोस्क्रिप्ट सुरक्षा (लाइकजैकिंग सहित) को मोज़िला फ़ायरफ़ॉक्स डेस्कटॉप और मोबाइल संस्करणों में नोस्क्रिप्ट ऐड-ऑन स्थापित करके जोड़ा जा सकता हैः इसकी क्लियरक्लिक सुविधा, 8 अक्टूबर 2008 को जारी की गई, जो उपयोगकर्ताओं को एम्बेडेड दस्तावेज़ों या ऐपलेट के अदृश्य या "संशोधित" पृष्ठ तत्वों पर क्लिक करने से रोकती है। 2008 से गूगल की "ब्राउज़र सुरक्षा पुस्तिका" के अनुसार, नोस्क्रिप्ट का क्लियरक्लिक एक "स्वतंत्र रूप से उपलब्ध उत्पाद है जो क्लिकजैकिंग के खिलाफ उचित स्तर की सुरक्षा प्रदान करता है"। नए कर्सरजैकिंग हमले से सुरक्षा को नोस्क्रिप्ट 2.2.8 आरसी1 में जोड़ा गया था। नोक्लिकजैक "नोक्लिकजैक" वेब ब्राउज़र ऐड-ऑन (ब्राउज़र एक्सटेंशन) वैध आईफ्रेम के संचालन में हस्तक्षेप किए बिना गूगल क्रोम, मोज़िला फ़ायरफ़ॉक्स, ओपेरा और माइक्रोसॉफ्ट एज के उपयोगकर्ताओं के लिए क्लाइंट-साइड क्लिकजैक सुरक्षा जोड़ता है। नोक्लिकजैक गार्डेडआईडी के लिए विकसित तकनीक पर आधारित है। नोक्लिकजैक ऐड-ऑन निःशुल्क है। गार्डेडआईडी (एक वाणिज्यिक उत्पाद) में वैध आईफ्रेम के संचालन में हस्तक्षेप किए बिना इंटरनेट एक्सप्लोरर के उपयोगकर्ताओं के लिए क्लाइंट-साइड क्लिकजैक सुरक्षा शामिल है। गार्डेड आई. डी. क्लिकजैक सुरक्षा सभी फ्रेमों को दिखाई देने के लिए मजबूर करती है। गूगल क्रोम, मोज़िला फ़ायरफ़ॉक्स, ओपेरा और माइक्रोसॉफ्ट एज के लिए सुरक्षा जोड़ने के लिए एड-ऑन नोक्लिकजैक के साथ गार्डेडआईडी दल। गज़ेल गज़ेल आई. ई. पर आधारित एक माइक्रोसॉफ्ट रिसर्च प्रोजेक्ट सुरक्षित वेब ब्राउज़र है, जो ओएस जैसे सुरक्षा मॉडल का उपयोग करता है, और क्लिकजैकिंग के खिलाफ इसकी अपनी सीमित सुरक्षा है। गज़ेल में, अलग मूल की एक खिड़की केवल दूसरी खिड़की के स्क्रीन स्थान पर गतिशील सामग्री खींच सकती है यदि वह जो सामग्री खींचती है वह अपारदर्शी है। इंटरसेक्शन ऑब्जर्वर v2 इंटरसेक्शन ऑब्जर्वर v2 API एक लक्षित तत्व की वास्तविक "दृश्यता" पर नज़र रखने की अवधारणा का परिचय देता है क्योंकि एक इंसान इसे परिभाषित करेगा। यह एक फ्रेम किए गए विजेट को यह पता लगाने की अनुमति देता है कि इसे कब कवर किया जा रहा है। अप्रैल 2019 में जारी गूगल क्रोम 74 के बाद से यह सुविधा डिफ़ॉल्ट रूप से सक्षम है। इस समय एपीआई को लागू करने वाला क्रोम एकमात्र ब्राउज़र है। सर्वर-साइड फ्रेमकिलर वेब साइट के मालिक अपने उपयोगकर्ताओं को सर्वर साइड पर यू. आई. रिड्रेसिंग (फ्रेम आधारित क्लिकजैकिंग) से उन पृष्ठों में एक फ्रेमकिलर जावास्क्रिप्ट स्निपेट शामिल करके बचा सकते हैं जिन्हें वे विभिन्न स्रोतों से फ्रेम के अंदर शामिल नहीं करना चाहते हैं। इस तरह की जावास्क्रिप्ट-आधारित सुरक्षा हमेशा विश्वसनीय नहीं होती है। यह इंटरनेट एक्सप्लोरर पर विशेष रूप से सच है, जहां इस तरह के जवाबी उपाय को एक <IFRAME सुरक्षा = प्रतिबंधित> तत्व के अंदर लक्षित पृष्ठ को शामिल करके "डिजाइन द्वारा" दरकिनार किया जा सकता है। 2009 में इंटरनेट एक्सप्लोरर 8 में पेश किया गया एक्स-फ्रेम-ऑप्शंस एक नया एचटीटीपी हेडर एक्स-फ्रेम-ऑप्शंस था जो क्लिकजैकिंग के खिलाफ आंशिक सुरक्षा प्रदान करता था और इसके तुरंत बाद अन्य ब्राउज़रों (सफारी, फ़ायरफ़ॉक्स, क्रोम और ओपेरा) द्वारा अपनाया गया था। हेडर, जब वेबसाइट के मालिक द्वारा सेट किया जाता है, तो अपनी पसंदीदा फ्रेमिंग नीति घोषित करता हैः डेनी, मूल से अनुमति दें, या SAMEORIGIN के मान किसी भी फ्रेमिंग को रोकेंगे, बाहरी साइटों द्वारा फ्रेमिंग करेंगे, या केवल निर्दिष्ट साइट द्वारा फ्रेमिंग की अनुमति देंगे। इसके अलावा, कुछ विज्ञापन साइटें किसी भी पृष्ठ पर अपनी सामग्री को तैयार करने की अनुमति देने के इरादे से एक गैर-मानक स्वीकार्य मूल्य प्रदान करती हैं (एक्स-फ्रेम-विकल्प बिल्कुल भी सेट नहीं करने के बराबर)। 2013 में एक्स-फ्रेम-ऑप्शंस हेडर को आधिकारिक तौर पर आरएफसी 7034 के रूप में प्रकाशित किया गया है, लेकिन यह एक इंटरनेट मानक नहीं है। दस्तावेज़ केवल सूचनात्मक उद्देश्यों के लिए प्रदान किया गया है। डब्ल्यू3सी की सामग्री सुरक्षा नीति स्तर 2 अनुशंसा एक वैकल्पिक सुरक्षा निर्देश, फ्रेम-पूर्वज प्रदान करती है, जिसका उद्देश्य एक्स-फ्रेम-ऑप्शंस हेडर को अप्रचलित करना है। एक्स-फ्रेम-ऑप्शंस जैसे सुरक्षा हेडर उपयोगकर्ताओं को उन क्लिकजैकिंग हमलों से नहीं बचाएंगे जो फ्रेम का उपयोग नहीं कर रहे हैं। सामग्री सुरक्षा नीति सामग्री सुरक्षा नीति के फ्रेम-पूर्वजों का निर्देश (संस्करण 1.1 में प्रस्तुत) आईफ्रेम, ऑब्जेक्ट आदि का उपयोग करके संभावित शत्रुतापूर्ण पृष्ठों द्वारा सामग्री को एम्बेड करने की अनुमति या अनुमति नहीं दे सकता है। यह निर्देश एक्स-फ्रेम-ऑप्शंस निर्देश को हटा देता है। यदि किसी पृष्ठ को दोनों शीर्षकों के साथ प्रस्तुत किया जाता है, तो ब्राउज़र द्वारा फ्रेम-पूर्ववर्ती नीति को प्राथमिकता दी जानी चाहिए-हालाँकि कुछ लोकप्रिय ब्राउज़र इस आवश्यकता की अवज्ञा करते हैं। फ्रेम-पूर्वजों की नीतियों का उदाहरण लेंः #एम्बेडिंग को अस्वीकार करें। सभी आईफ्रेम आदि। यह खाली होगा, या इसमें ब्राउज़र विशिष्ट त्रुटि पृष्ठ होगा। सामग्री-सुरक्षा-नीतिः फ्रेम-पूर्वज 'कोई नहीं' #केवल अपनी सामग्री को एम्बेड करने की अनुमति दें। सामग्री-सुरक्षा-नीतिः फ्रेम-पूर्वजों को 'स्वयं' #इस सामग्री को एम्बेड करने के लिए विशिष्ट उत्पत्ति की अनुमति दें सामग्री-सुरक्षा-नीतिः फ्रेम-पूर्वजों को भी देखें माउसट्रैपिंग ब्राउज़र सुरक्षा क्लिक धोखाधड़ी क्रॉस-साइट स्क्रिप्टिंग इंटरनेट सुरक्षा फ़िशिंग सुरक्षा हैकर सामाजिक जैकिंग संदर्भ हैकिंग (कंप्यूटर सुरक्षा) कम्प्यूटिंग संस्कृति वेब सुरक्षा शोषण सामाजिक इंजीनियरिंग (कंप्यूटर सुरक्षा)