Kapitel 3 - Zustandsbasierte Angriffe

3.5 Clickjacking

Diese Clickjacking-Demo ist extrem vereinfacht. Denn beide Fenster liegen einfach so übereinander, dass sichtbares und unsichtbares "Klick-Ziel" sich an der gleichen Stelle befinden.

Das reicht, um das Prinzip zu verdeutlichen: Wenn Sie den sichtbaren Link anklicken, erreicht der Klick tatsächlich den Button im Formular der unsichtbaren Seite.

Dass so was nicht gut ist, dürfte einleuchten.

3.7 - Die Demo-Anwendung

3.7.6 - CSRF

Die ausführbaren Angriffe auf den beiden verlinkten Seiten sind eigentlich keine CSRF-Angriffe: Sie funktionieren nur, wenn diese Seite von dem Server geladen wurde, auf dem auch die Demo-Anwendung läuft. Da gibt es keinen "Cross-Site"-Faktor. Da ich die IP-Adresse Ihres Servers nicht kenne kann ich den Angriff aber nicht weiter vorbereiten.

Im jeweils dargestellten Sourcecode ist die Stelle markiert, an der Sie den Angriff anpassen müssen.

Der CSRF-Angriff mit IMG-Tag
Der CSRF-Angriff mit Formular
Nach dem Aufruf der Seite wird das darauf befindliche Formuar automatisch über JavaScript abgeschickt. Danach landen Sie in diesem Fall sofort im Admin-Bereich. Das verrät den Angriff, ist hier aber praktisch, da Sie so gleich das Ergebnis des Angriffs sehen.
Ein Angreifer würde das natürlich nicht so auffällig machen und das Formular z.B. in einem unsichtbaren iframe laden.

Das Formular sieht so aus:

<form method="post" action="http://Adresse des Servers/app/admin/index.php">
   <input type="hidden" name="bname" value="FORMULAR-CSRF">
   <input type="hidden" name="rname" value="Realname">
   <input type="hidden" name="pass" value="FORMULAR-CSRF">
   <input type="hidden" name="aktion" value="eintragen">
</form>

<script>document.forms[0].submit()</script>

Es besteht nur aus unsichtbaren Feldern für die nötigen Parameter. Die Zeile JavaScript-Code im script-Tag darunter schickt das Formular beim Laden der Seite ab.

Die Links

Zurück