# Clickjacking ## Lab: Basic clickjacking with CSRF token protection ### Enunciado **Este laboratorio contiene una funcionalidad de inicio de sesión y un botón para eliminar la cuenta que está protegido con un token CSRF.** Un usuario **hará clic en elementos que muestren la palabra "click" en un sitio web señuelo. Crea un código HTML que incluya la página de cuenta en un iframe y engañe al usuario para que elimine su cuenta.** El laboratorio se considera resuelto **cuando la cuenta sea eliminada.** **Puedes iniciar sesión en tu propia cuenta con las siguientes credenciales:** * **Usuario:** `wiener` * **Contraseña:** `peter` > La víctima usará **Chrome**, así que prueba tu exploit en **ese navegador**. ### Resolución Nos logueamos. Viendo el código fuente nos damos cuenta que hay CSRF token para intentar prevenir ese ataque. Vamos a hacer un ` ``` Vemos el exploit y se sitúa correctamente para el botón de eliminar cuenta de manera simulada.
Lo enviamos a la víctima.
## Lab: Clickjacking with form input data prefilled from a URL parameter ### Enunciado **Este laboratorio amplía el ejemplo básico de clickjacking del laboratorio: Basic clickjacking with CSRF token protection.** El objetivo del laboratorio es **cambiar la dirección de correo electrónico del usuario** prellenando un formulario mediante un parámetro en la URL y **convenciendo al usuario para que haga clic inadvertidamente en un botón de "Update email".** **Crea un código HTML que incluya la página de cuenta en un iframe y engañe al usuario para que actualice su dirección de correo electrónico al hacer clic en un señuelo con el texto "Click me".** El laboratorio se considera resuelto **cuando la dirección de correo electrónico haya sido cambiada.** **Puedes iniciar sesión en tu propia cuenta con las siguientes credenciales:** * **Usuario:** `wiener` * **Contraseña:** `peter` > La víctima usará **Chrome**, así que asegúrate de probar tu exploit en **ese navegador**. ### Resolución Nos logueamos. En este laboratorio tenemos que actualizar el email.
Nos damos cuenta que podemos rellenar el campo email como una petición GET.
Esta vez lo hacemos con Burp Clickbandit. Copiamos y lo pegamos en la Dev Tools.
Seleccionamos start y el botón de actualizar el email. Terminamos y guardamos.
Con el código dado lo enviamos a la víctima. También de manera manual sería así. ```
click here
```
## Lab: Clickjacking with a frame buster script ### Enunciado **Este laboratorio está protegido con un *****frame buster***** que evita que el sitio web se pueda mostrar en un iframe. Crea un código HTML que incluya la página de cuenta en un iframe y engañe al usuario para que cambie su dirección de correo electrónico al hacer clic en un señuelo con el texto "Click me".** El laboratorio se considera resuelto **cuando la dirección de correo electrónico haya sido cambiada.** **Puedes iniciar sesión en tu propia cuenta con las siguientes credenciales:** * **Usuario:** `wiener` * **Contraseña:** `peter` ### Resolución Nos logueamos y vemos el código fuente.
Aquí vemos que hay un código JavaScript que **verifica si la ventana actual es la principal (top)**. Si **no está en la ventana superior**, **bloquea el contenido** para evitar ser cargado en un iframe. **Esta técnica se llama “Frame busting”.** Para **evadirla**, podemos usar el atributo **sandbox** de HTML5: ```html ``` Si **omitimos** `allow-top-navigation` pero permitimos `allow-forms` o `allow-scripts`, **el frame buster no puede verificar si está en top**, quedando neutralizado. Con esta técnica, podemos **crear un sitio falso que engañe al usuario para que actualice su email al hacer clic en "Click me"**. Para **prellenar la dirección de email**, simplemente usamos un **parámetro GET**: `email`.
```
Click me
``` Enviamos a la víctima.
## Lab: Exploiting clickjacking vulnerability to trigger DOM-based XSS ### Enunciado Este laboratorio contiene una vulnerabilidad XSS que se activa al hacer clic. Construye un ataque de clickjacking que engañe al usuario para que haga clic en el botón "Click me" y ejecute la función `print()`. > La víctima usará **Chrome**, así que asegúrate de **probar tu exploit en ese navegador**. ### Resolución Enviamos un mensaje.
Al ver el código fuente nos damos cuenta de un script en JS.
Aquí la función **displayFeedbackMessage(name)** es interesante: ```javascript feedbackResult.innerHTML = "Thank you for submitting feedback" + (name ? ", " + name : "") + "!"; ``` Usa **innerHTML** (una función peligrosa) y **el input del usuario se inserta directamente sin codificación ni validación**. Si el back-end **no valida la entrada**, es muy probable que sea vulnerable a **XSS basado en DOM**. ```html ```
Ahora podemos **combinar XSS basado en DOM con clickjacking**. Primero, necesitamos **prellenar el payload de XSS** usando un parámetro GET junto con los demás campos requeridos: ``` /feedback?name=&email=prueba@prueba.com&subject=subject&message=message ``` Así insertamos el payload directamente en el campo **name** para activar el XSS. ```
Click Here to Login
```
## Lab: Multistep clickjacking ### Enunciado **Este laboratorio tiene una funcionalidad de cuenta protegida con un token CSRF y también con un cuadro de diálogo de confirmación para evitar ataques de Clickjacking. Construye un ataque que engañe al usuario para que haga clic en el botón de eliminar cuenta y luego en el cuadro de confirmación, usando las acciones señuelo "Click me first" y "Click me next".** Necesitarás **dos elementos** para este laboratorio. **Puedes iniciar sesión en tu propia cuenta con las siguientes credenciales:** * **Usuario:** `wiener` * **Contraseña:** `peter` > La víctima usará **Chrome**, así que asegúrate de **probar tu exploit en ese navegador**. ### Resolución Nos logueamos y vemos que para eliminar la cuenta hay que también confirmar por lo que hay que realizar dos movimientos. ```
Click first
Click next
``` Enviamos a la víctima.
--- # Agent Instructions: Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter: ``` GET https://beafn28.gitbook.io/beafn28/web-security/laboratorios-portswigger/clickjacking.md?ask= ``` The question should be specific, self-contained, and written in natural language. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.