Clickjacking
کلک جیکنگ (جسے یوزر انٹرفیس ریڈریس اٹیک یا یو آئی ریڈریسنگ کے طور پر درجہ بند کیا گیا ہے) ایک بدنیتی پر مبنی تکنیک ہے جس میں صارف کو دھوکہ دے کر صارف کے خیال سے مختلف کسی چیز پر کلک کیا جاتا ہے، اس طرح ممکنہ طور پر خفیہ معلومات کو ظاہر کیا جاتا ہے یا دوسروں کو اپنے کمپیوٹر کا کنٹرول سنبھالنے کی اجازت دی جاتی ہے جب کہ ویب صفحات سمیت بظاہر بے ضرر اشیاء پر کلک کیا جاتا ہے۔ کلک جیکنگ الجھن زدہ ڈپٹی مسئلہ کی ایک مثال ہے، جس میں کمپیوٹر کو اپنے اختیار کا غلط استعمال کرنے کے لیے دھوکہ دیا جاتا ہے۔ 2002 میں، یہ نوٹ کیا گیا تھا کہ ویب پیج پر ایک شفاف پرت کو لوڈ کرنا اور صارف کے ان پٹ کو صارف کے نوٹس کیے بغیر شفاف پرت کو متاثر کرنا ممکن تھا۔ تاہم، 2008 تک اسے بنیادی طور پر ایک بڑے مسئلے کے طور پر نظر انداز کر دیا گیا تھا۔ 2008 میں، یرمیاہ گروسمین اور رابرٹ ہینسن نے دریافت کیا تھا کہ ایڈوب فلیش پلیئر کو کلک جیک کیا جا سکتا ہے، جس سے حملہ آور صارف کے علم کے بغیر کمپیوٹر تک رسائی حاصل کر سکتا ہے۔ "کلک جیکنگ" کی اصطلاح یرمیاہ گروسمین اور رابرٹ ہینسن نے تیار کی تھی، جو "کلک" اور "ہائی جیکنگ" الفاظ کا مجموعہ ہے۔ جیسے جیسے اسی نوعیت کے مزید حملے دریافت ہوئے، ان حملوں کے زمرے کو بیان کرنے کے لیے "یو آئی ریڈریسنگ" کی اصطلاح کا فوکس تبدیل کر دیا گیا، بجائے اس کے کہ صرف خود کلک جیکنگ کی جائے۔ کلک جیکنگ کی ایک شکل ایپلی کیشنز یا ویب پیجز میں موجود کمزوریوں سے فائدہ اٹھاتی ہے تاکہ حملہ آور کو اپنے فائدے کے لیے صارف کے کمپیوٹر میں ہیرا پھیری کرنے کی اجازت دی جا سکے۔ مثال کے طور پر، ایک کلک جیک شدہ صفحہ خفیہ لنکس پر کلک کرکے صارف کو ناپسندیدہ اعمال انجام دینے کے لیے اکساتا ہے۔ کلک جیک شدہ پیج پر، حملہ آور صارف کو کارروائی کرنے کے لیے دھوکہ دینے کے لیے ایک شفاف پرت میں اصل پیج کے اوپر ایک اور پیج لوڈ کرتے ہیں، جس کے نتائج صارف کی توقعات کے مطابق نہیں ہوں گے۔ بے شک صارفین کو لگتا ہے کہ وہ نظر آنے والے بٹنوں پر کلک کر رہے ہیں، جب کہ وہ در حقیقت پرت کے نیچے والے صفحے کے بٹنوں پر کلک کر کے پوشیدہ صفحہ پر ایکشن انجام دے رہے ہیں۔ پوشیدہ صفحہ تصدیق کا صفحہ ہو سکتا ہے ؛ اس لیے حملہ آور صارفین کو دھوکہ دے کر ایسے اقدامات کر سکتے ہیں جن کا صارفین نے کبھی ارادہ نہیں کیا تھا۔ بعد میں حملہ آوروں کو اس طرح کی کارروائیوں کا سراغ لگانے کا کوئی طریقہ نہیں ہے، کیونکہ صارفین کو پوشیدہ صفحہ پر حقیقی طور پر تصدیق شدہ کیا گیا ہوگا۔ کلاسیکی: زیادہ تر ویب براؤزر لائک جیکنگ کے ذریعے کام کرتا ہے: فیس بک کی سوشل میڈیا صلاحیتوں کو استعمال کرتا ہے نیسٹڈ: گوگل + کرسر جیکنگ کو متاثر کرنے کے لیے تیار کردہ کلک جیکنگ: کرسر کی ظاہری شکل اور مقام میں ہیرا پھیری کرتا ہے ماؤس جیکنگ: ریموٹ آر ایف لنک کے ذریعے کی بورڈ یا ماؤس ان پٹ کو انجیکٹ کرتا ہے براؤزر لیس: براؤزر کوکی جیکنگ کا استعمال نہیں کرتا ہے براؤزر سے کوکیز حاصل کرتا ہے فائل جیکنگ: متاثرہ ڈیوائس کو فائل سرور پاس ورڈ مینیجر کے حملے کے طور پر ترتیب دینے کے قابل: کلک جیکنگ جو براؤزر کی آٹو فل صلاحیت میں کمزوری کو استعمال کرتا ہے کلاسیکی کلک جیکنگ سے مراد ایسی صورتحال ہوتی ہے جب حملہ آور ویب صفحات پر پوشیدہ تہوں کا استعمال صارف کے کرسر کے اعمال میں ہیرا پھیری کے لیے کرتا ہے، جس کے نتیجے میں کسی صارف کو کسی نیوز آئٹم کے بارے میں ویڈیو کے لنک کے ساتھ ای میل موصول ہو سکتا ہے، لیکن ایک اور ویب پیج، جیسے کہ ایمیزون پر پروڈکٹ پیج، نیوز ویڈیو کے "پلے" بٹن کے اوپر یا نیچے "پوشیدہ" ہو سکتا ہے۔ صارف ویڈیو کو "چلانے" کی کوشش کرتا ہے لیکن دراصل ایمیزون سے پروڈکٹ "خریدتا ہے"۔ ہیکر صرف ایک کلک بھیج سکتا ہے، لہذا وہ اس حقیقت پر بھروسہ کرتے ہیں کہ وزیٹر دونوں ایمیزون میں لاگ ان ہیں اور اس نے 1 کلک آرڈر فعال کیا ہے۔ اگرچہ کراس براؤزر کی مطابقت نہ ہونے کی وجہ سے ان حملوں کا تکنیکی نفاذ مشکل ہو سکتا ہے، لیکن بی ای ایف یا میٹا اسپلوئٹ پروجیکٹ جیسے متعدد ٹولز کمزور ویب سائٹس پر کلائنٹس کا تقریبا مکمل طور پر خودکار استحصال پیش کرتے ہیں۔ کلک جیکنگ کو دوسرے ویب حملوں، جیسے ایکس ایس ایس کے ذریعے سہولت فراہم کی جا سکتی ہے یا سہولت فراہم کی جا سکتی ہے۔ لائک جیکنگ ایک بدنیتی پر مبنی تکنیک ہے جس میں کسی ویب سائٹ کو دیکھنے والے صارفین کو فیس بک پیج یا دیگر سوشل میڈیا پوسٹس/اکاؤنٹس کو "لائک" کرنے کے لیے دھوکہ دیا جاتا ہے جن کا مطلب جان بوجھ کر "لائک" کرنا نہیں تھا۔ "لائک جیکنگ" کی اصطلاح کوری بلو کے مضمون "ہاؤ ٹو لائک" آن دی ویب (سیفلی) میں پوسٹ کیے گئے ایک تبصرے سے آئی ہے، جو فیس بک کے "لائک" بٹن کے حوالے سے بدنیتی پر مبنی سرگرمی کے امکان کی وضاحت کرنے والی پہلی دستاویزی پوسٹنگ میں سے ایک ہے۔ آئی ای ای ای سپیکٹرم کے ایک مضمون کے مطابق، فیس بک کے ایک ہیکاتھون میں لائک جیکنگ کا حل تیار کیا گیا تھا۔ ایک "لائک" بک مارکلیٹ دستیاب ہے جو فیس بک لائک بٹن میں موجود لائک جیکنگ کے امکان سے بچتا ہے۔ کلاسیکی کلک جیکنگ کے مقابلے میں نیسٹڈ نیسٹڈ کلک جیکنگ، اصل، بے ضرر ویب پیج کے دو فریموں کے درمیان ایک بدنیتی پر مبنی ویب فریم کو سرایت کرکے کام کرتا ہے: وہ فریم شدہ پیج سے اور جو اوپر کی ونڈو پر ظاہر ہوتا ہے۔ یہ HTTP ہیڈر X-فریم-آپشنز میں کمزوری کی وجہ سے کام کرتا ہے، جس میں، جب اس عنصر کی قیمت SAMEORIGIN ہوتی ہے، تو ویب براؤزر صرف مذکورہ بالا دو تہوں کو چیک کرتا ہے۔ حقیقت یہ ہے کہ ان دونوں کے درمیان اضافی فریم شامل کیے جا سکتے ہیں جبکہ نامعلوم رہنے کا مطلب ہے کہ حملہ آور اسے اپنے فائدے کے لیے استعمال کر سکتے ہیں۔ ماضی میں، گوگل پلس اور ایکس فریم آپشنز کے ناقص ورژن کے ساتھ، حملہ آور گوگل کے امیج سرچ انجن میں موجود کمزوری کا استعمال کرتے ہوئے اپنی پسند کے فریم داخل کرنے میں کامیاب رہے۔ امیج ڈسپلے فریموں کے درمیان، جو گوگل پلس میں بھی موجود تھے، یہ حملہ آور کے زیر کنٹرول فریم لوڈ کرنے کے قابل تھے اور ان پر پابندی نہیں تھی، جس سے حملہ آوروں کو امیج ڈسپلے پیج پر آنے والے کسی بھی شخص کو گمراہ کرنے کا موقع ملا۔ کرسر جیکنگ کرسر کو اس مقام سے تبدیل کرنے کی ایک UI ریڈریسنگ تکنیک ہے جسے صارف سمجھتا ہے، جسے 2010 میں Vulnerability.fr کے ایک محقق ایڈی بورڈی نے دریافت کیا، مارکس نیمیٹز نے کسٹم کرسر آئیکن کے ساتھ اس کا مظاہرہ کیا، اور 2012 میں ماریو ہیڈرچ نے کرسر کو چھپاتے ہوئے۔ Alternativ-Testing.fr کے ایک محقق جورڈی چانسل نے میک او ایس ایکس سسٹمز (فائر فاکس 30.0 میں طے شدہ) پر موزیلا فائر فاکس میں فلیش، ایچ ٹی ایم ایل اور جاوا اسکرپٹ کوڈ کا استعمال کرتے ہوئے کرسر جیکنگ کی کمزوری دریافت کی جو صوابدیدی کوڈ پر عمل درآمد اور ویب کیم جاسوسی کا باعث بن سکتی ہے۔ میک او ایس ایکس سسٹمز پر موزیلا فائر فاکس میں جورڈی چانسل نے ایک بار پھر فلیش، ایچ ٹی ایم ایل اور جاوا اسکرپٹ کوڈ کا استعمال کرتے ہوئے ایک دوسری کرسر جیکنگ کمزوری دریافت کی جو ویب کیم کے ذریعے جاسوسی اور بدنیتی پر مبنی ایڈون پر عمل درآمد کا باعث بھی بن سکتی ہے، جس سے متاثرہ صارف کے کمپیوٹر پر میلویئر پر عمل درآمد ممکن ہو سکتا ہے۔ ماؤس جیک دیگر کلک جیکنگ تکنیکوں سے مختلف ہے جو UI کو دور کرتی ہے، ماؤس جیک ایک وائرلیس ہارڈ ویئر پر مبنی UI کمزوری ہے جس کی اطلاع سب سے پہلے 2016 میں Bastille.net کے مارک نیولن نے دی تھی جو بیرونی کی بورڈ ان پٹ کو کمزور ڈونگلز میں انجکشن کرنے کی اجازت دیتا ہے۔ لاجیٹیک نے فرم ویئر پیچ فراہم کیے لیکن دوسرے مینوفیکچررز اس کمزوری کا جواب دینے میں ناکام رہے۔ براؤزر لیس کلک جیکنگ میں، حملہ آور ویب براؤزر کی موجودگی کو استعمال کرنے کی ضرورت کے بغیر، کلاسیکی کلک جیکنگ کو نقل کرنے کے لیے پروگراموں میں موجود کمزوریوں کا استعمال کرتے ہیں۔ کلک جیکنگ کا یہ طریقہ بنیادی طور پر موبائل ڈیوائسز میں عام ہے، عام طور پر اینڈرائیڈ ڈیوائسز پر، خاص طور پر ٹوسٹ نوٹیفیکیشنز کے کام کرنے کے طریقے کی وجہ سے۔ کیونکہ ٹوسٹ نوٹیفیکیشنز میں نوٹیفیکیشن کی درخواست کے لمحے اور اس لمحے کے درمیان ایک چھوٹی سی تاخیر ہوتی ہے جب نوٹیفیکیشن اصل میں اسکرین پر ظاہر ہوتا ہے، حملہ آور اس خلا کو ایک ڈمی بٹن بنانے کے لیے استعمال کرنے کے قابل ہوتے ہیں جو نوٹیفیکیشن کے نیچے چھپا ہوتا ہے اور پھر بھی اس پر کلک کیا جا سکتا ہے۔ کوکی جیکنگ کلک جیکنگ کی ایک شکل ہے جس میں شکار کے ویب براؤزر سے کوکیز چوری کی جاتی ہیں۔ یہ صارف کو کسی ایسی چیز کو گھسیٹنے کے لیے دھوکہ دے کر کیا جاتا ہے جو بظاہر بے ضرر معلوم ہوتی ہے، لیکن حقیقت میں صارف کو کوکی کے پورے مواد کو منتخب کرنے پر مجبور کرتی ہے جسے نشانہ بنایا جا رہا ہے۔ وہاں سے حملہ آور کوکی اور اس کے پاس موجود تمام ڈیٹا حاصل کر سکتا ہے۔ فائل جیکنگ میں، حملہ آور ذاتی ڈیٹا حاصل کرنے کے لیے کمپیوٹر کے ذریعے نیویگیشن کرنے اور کمپیوٹر فائلوں تک رسائی حاصل کرنے کے لیے ویب براؤزر کی صلاحیت کا استعمال کرتے ہیں۔ یہ صارف کو ایک فعال فائل سرور قائم کرنے کے لیے دھوکہ دے کر ایسا کرتا ہے (فائل اور فولڈر سلیکشن ونڈو کے ذریعے جو براؤزر استعمال کرتے ہیں)۔ اس کے ساتھ، حملہ آور اب اپنے متاثرین کے کمپیوٹرز سے فائلوں تک رسائی حاصل کر سکتے ہیں اور لے سکتے ہیں۔ پاس ورڈ مینیجر حملہ کارنیگی میلن یونیورسٹی کے محقق کے 2014 کے ایک مقالے سے پتہ چلا ہے کہ اگرچہ براؤزر خود بخود بھرنے سے انکار کرتے ہیں اگر موجودہ لاگ ان پیج پر موجود پروٹوکول اس وقت کے پروٹوکول سے مختلف ہے جب پاس ورڈ محفوظ کیا گیا تھا، کچھ پاس ورڈ منیجر غیر محفوظ طریقے سے پاس ورڈ پر کریں گے۔ HTTPS-محفوظ کردہ پاس ورڈ کے HTTP ورژن کے لیے۔ زیادہ تر مینیجرز نے آئی فریم اور ری ڈائریکشن پر مبنی حملوں سے تحفظ نہیں کیا اور اضافی پاس ورڈز کو بے نقاب کیا جہاں متعدد آلات کے درمیان پاس ورڈ کی ہم آہنگی استعمال کی گئی تھی۔ کلک جیکنگ کے خلاف پریوینشن کلائنٹ سائیڈ نو اسکرپٹ پروٹیکشن (بشمول لائک جیکنگ) کو موزیلا فائر فاکس ڈیسک ٹاپ اور موبائل ورژن میں نو اسکرپٹ ایڈ آن انسٹال کرکے شامل کیا جا سکتا ہے: اس کا کلیئر کلک فیچر، جو 8 اکتوبر 2008 کو جاری کیا گیا تھا، صارفین کو سرایت شدہ دستاویزات یا ایپلٹ کے پوشیدہ یا "ریڈریسڈ" پیج عناصر پر کلک کرنے سے روکتا ہے۔ 2008 سے گوگل کی "براؤزر سیکیورٹی ہینڈ بک" کے مطابق، نو اسکرپٹ کا کلیئر کلک ایک "آزادانہ طور پر دستیاب پروڈکٹ ہے جو کلک جیکنگ کے خلاف معقول حد تک تحفظ فراہم کرتا ہے"۔ نو اسکرپٹ 2.2.8 آر سی 1 میں نئے کرسر جیکنگ حملے سے تحفظ شامل کیا گیا تھا۔ نو کلک جیک "نو کلک جیک" ویب براؤزر ایڈ آن (براؤزر ایکسٹینشن) جائز آئی فریموں کے آپریشن میں مداخلت کیے بغیر گوگل کروم، موزیلا فائر فاکس، اوپیرا اور مائیکروسافٹ ایج کے صارفین کے لیے کلائنٹ سائیڈ کلک جیک پروٹیکشن کا اضافہ کرتا ہے۔ نو کلک جیک گارڈڈ آئی ڈی کے لیے تیار کردہ ٹیکنالوجی پر مبنی ہے۔ NoClickjack ایڈ آن مفت ہے۔ گارڈڈ آئی ڈی گارڈڈ آئی ڈی (ایک تجارتی پروڈکٹ) میں انٹرنیٹ ایکسپلورر کے صارفین کے لیے جائز آئی فریم کے آپریشن میں مداخلت کیے بغیر کلائنٹ سائیڈ کلک جیک پروٹیکشن شامل ہے۔ گارڈڈ آئی ڈی کلک جیک پروٹیکشن تمام فریموں کو نظر آنے پر مجبور کرتا ہے۔ گوگل کروم، موزیلا فائر فاکس، اوپیرا اور مائیکروسافٹ ایج کے لیے تحفظ شامل کرنے کے لیے ایڈ آن نو کلک جیک کے ساتھ گارڈڈ آئی ڈی ٹیمیں۔ Gazelle Gazelle ایک مائیکروسافٹ ریسرچ پروجیکٹ محفوظ ویب براؤزر ہے جو IE پر مبنی ہے، جو OS جیسے حفاظتی ماڈل کا استعمال کرتا ہے، اور کلک جیکنگ کے خلاف اس کا اپنا محدود دفاع ہے۔ گزیل میں، مختلف اصل کی ونڈو صرف دوسری ونڈو کی اسکرین کی جگہ پر متحرک مواد کھینچ سکتی ہے اگر اس کا مواد غیر واضح ہو۔ انٹرسیکشن آبزرور v2 انٹرسیکشن آبزرور v2 API ہدف عنصر کی اصل "مرئیت" کا سراغ لگانے کا تصور متعارف کراتا ہے کیونکہ انسان اس کی وضاحت کرے گا۔ یہ ایک فریم شدہ ویجیٹ کو یہ پتہ لگانے کی اجازت دیتا ہے کہ اسے کب ڈھانپا جا رہا ہے۔ اپریل 2019 میں ریلیز ہونے والے گوگل کروم 74 کے بعد سے یہ فیچر ڈیفالٹ طور پر فعال ہے۔ اس وقت اے پی آئی کو لاگو کرنے والا کروم واحد براؤزر ہے۔ سرور سائیڈ فریم کلر ویب سائٹ کے مالکان اپنے صارفین کو سرور سائیڈ پر یو آئی ریڈریسنگ (فریم پر مبنی کلک جیکنگ) سے ان صفحات میں فریم کلر جاوا اسکرپٹ کا ایک ٹکڑا شامل کر کے بچا سکتے ہیں جو وہ مختلف ذرائع سے فریم کے اندر شامل نہیں کرنا چاہتے ہیں۔ اس طرح کے جاوا اسکرپٹ پر مبنی تحفظ ہمیشہ قابل اعتماد نہیں ہوتے ہیں۔ یہ انٹرنیٹ ایکسپلورر پر خاص طور پر درست ہے، جہاں اس قسم کے جوابی اقدام کو <IFRAME سیکیورٹی = محدود> عنصر کے اندر ٹارگٹڈ پیج کو شامل کرکے "ڈیزائن کے ذریعے" روکا جا سکتا ہے۔ 2009 میں انٹرنیٹ ایکسپلورر 8 میں متعارف کرایا گیا ایکس فریم آپشنز ایک نیا ایچ ٹی ٹی پی ہیڈر ایکس فریم آپشنز تھا جس نے کلک جیکنگ کے خلاف جزوی تحفظ فراہم کیا اور اس کے فورا بعد دوسرے براؤزرز (سفاری، فائر فاکس، کروم، اور اوپیرا) نے اسے اپنا لیا۔ ہیڈر، جب ویب سائٹ کے مالک کے ذریعہ سیٹ کیا جاتا ہے، تو اپنی ترجیحی فریمنگ پالیسی کا اعلان کرتا ہے: ڈینی کی اقدار، اصل سے اجازت دیں، یا SAMEORIGIN کسی بھی فریمنگ کو روکے گا، بیرونی سائٹوں کے ذریعہ فریمنگ کرے گا، یا بالترتیب صرف مخصوص سائٹ کے ذریعہ فریمنگ کی اجازت دے گا۔ اس کے علاوہ، کچھ اشتہاری سائٹیں کسی بھی صفحے پر اپنے مواد کو تیار کرنے کی اجازت دینے کے ارادے سے غیر معیاری ALLOWALL ویلیو واپس کرتی ہیں (بالکل بھی ایکس فریم آپشنز ترتیب نہ دینے کے مساوی)۔ 2013 میں ایکس فریم آپشنز ہیڈر کو باضابطہ طور پر آر ایف سی 7034 کے طور پر شائع کیا گیا ہے، لیکن یہ انٹرنیٹ کا معیار نہیں ہے۔ دستاویز صرف معلوماتی مقاصد کے لیے فراہم کی گئی ہے۔ ڈبلیو 3 سی کی کنٹینٹ سیکیورٹی پالیسی لیول 2 کی سفارش ایک متبادل حفاظتی ہدایت، فریم-آنسٹرز فراہم کرتی ہے، جس کا مقصد ایکس فریم-آپشنز ہیڈر کو متروک کرنا ہے۔ ایکس-فریم-آپشنز جیسا حفاظتی ہیڈر صارفین کو ان کلک جیکنگ حملوں سے نہیں بچائے گا جو فریم استعمال نہیں کر رہے ہیں۔ مواد کی حفاظتی پالیسی (ورژن 1.1 میں متعارف کرائی گئی) مواد کی حفاظتی پالیسی کے فریم کے آباؤ اجداد کی ہدایت آئی فریم، آبجیکٹ وغیرہ کا استعمال کرتے ہوئے ممکنہ طور پر دشمن صفحات کے ذریعے مواد کو سرایت کرنے کی اجازت یا اجازت نہیں دے سکتی ہے۔ یہ ہدایت X-Frame-Opsion ہدایت کو ختم کرتی ہے۔ اگر کسی پیج کو دونوں ہیڈرز کے ساتھ پیش کیا جاتا ہے، تو براؤزر کو فریم-اینسیسٹرز پالیسی کو ترجیح دینی چاہیے۔-حالانکہ کچھ مشہور براؤزر اس ضرورت کی نافرمانی کرتے ہیں۔ مثال فریم-آنسٹر پالیسیاں: #ایمبیڈنگ کی اجازت نہ دیں۔ تمام آئی فریم وغیرہ۔ خالی ہوگا، یا براؤزر کے لیے مخصوص ایرر پیج پر مشتمل ہوگا۔ مواد-تحفظ-پالیسی: فریم-آنسٹرس 'کوئی نہیں' #صرف اپنے مواد کو سرایت کرنے کی اجازت دیں۔ مواد-سلامتی-پالیسی: فریم-آباؤ اجداد 'خود' #اس مواد کو سرایت کرنے کے لیے مخصوص ماخذوں کی اجازت دیں مواد-سلامتی-پالیسی: فریم-آباؤ اجداد www.example.com www.wikipedia.org یہ بھی دیکھیں ماؤس ٹریپنگ براؤزر سیکیورٹی کلک فراڈ کراس سائٹ اسکرپٹنگ انٹرنیٹ سیفٹی انٹرنیٹ سیکیورٹی فشنگ سیکیورٹی ہیکر کو بدنیتی پر مبنی سوشل جیکنگ حوالہ جات ہیکنگ (کمپیوٹر سیکیورٹی) کمپیوٹنگ کلچر ویب سیکیورٹی استحصال سوشل انجینئرنگ (کمپیوٹر سیکیورٹی)