Clickjacking Nedir?
Yayın: · Son güncelleme:
Clickjacking Nedir? Kısaca
Clickjacking (tıklama korsanlığı), kullanıcının gördüğü masum bir düğmenin üstüne görünmez bir sayfa yerleştirilerek, kullanıcının farkında olmadan başka bir sitedeki düğmeye tıklatılmasıdır. İzin verme ve beğeni gibi işlemler hedeflenir.
Clickjacking nedir?
Clickjacking, sizi bir şeye tıkladığınızı sanırken aslında başka bir şeye tıklatan aldatma tekniğidir. Saldırgan, asıl hedef sayfayı şeffaf bir katman olarak kendi sayfasının üstüne yerleştirir. Siz "videoyu oynat" düğmesine bastığınızı düşünürsünüz, tıklama ise görünmeyen sayfadaki bir onay düğmesine gider.
Neler hedeflenir?
Tipik hedefler tek tıkla yapılan işlemlerdir. Sosyal medyada bir sayfayı beğenmek ya da takip etmek, kamera veya mikrofon iznine onay vermek, bir uygulamaya hesap erişimi tanımak bunlara örnektir. Örneğin "ödülü almak için buraya tıklayın" yazan bir sayfa, tıklamanızı aynı anda açık olan bir hesabınızdaki ayar düğmesine yönlendirebilir.
Bu saldırının varyantlarında imleç yeri kaydırılır ya da sürükle bırak hareketleri kullanılır. Ortak nokta, gördüğünüzle yaptığınızın farklı olmasıdır.
Korunma yolları
Site sahipleri için çözüm, sayfanın başka sitelerin çerçevesi (iframe) içinde açılmasını engellemektir. Bunun için Content-Security-Policy başlığındaki frame-ancestors yönergesi ya da daha eski X-Frame-Options başlığı kullanılır. Kritik işlemlerde ikinci onay istemek de etkilidir.
Kullanıcı olarak, ödül, çekiliş veya "oynatmak için tıklayın" sözü veren tanımadığınız sayfalarda temkinli olun. Tarayıcınız beklemediğiniz bir izin penceresi gösterirse kabul etmeyin. Tarayıcı ayarlarından kamera, mikrofon ve bildirim izinlerini ara ara gözden geçirmek, farkında olmadan verilmiş izinleri bulmanızı sağlar.
Sıkça Sorulan Sorular
Clickjacking virüs bulaştırır mı?
Tek başına genellikle dosya bulaştırmaz. Asıl amacı sizin adınıza bir onay, izin ya da işlem yaptırmaktır. Ancak bu onay, zararlı bir indirmeyi başlatmak için de kullanılabilir.
Bir sitenin clickjacking'e karşı korumalı olup olmadığını nasıl anlarım?
Kullanıcı olarak kolayca göremezsiniz. Geliştiriciler, tarayıcı geliştirici araçlarında yanıt başlıklarında frame-ancestors ya da X-Frame-Options değerini kontrol edebilir.