Enviar pesquisa
Carregar
クリックジャッキング
•
Transferir como PPTX, PDF
•
13 gostaram
•
6,722 visualizações
A
abend_cve_9999_0001
Seguir
Denunciar
Compartilhar
Denunciar
Compartilhar
1 de 22
Baixar agora
Recomendados
インセプションデッキの紹介
インセプションデッキの紹介
lita
Od zera do designera
Od zera do designera
Magdalena Ruta
5分でわかった気になるインセプションデッキ
5分でわかった気になるインセプションデッキ
Takao Oyobe
『RUNNING LEAN』を大学生向けにまとめた
『RUNNING LEAN』を大学生向けにまとめた
Akira Kashihara
デザイン提案の参考資料
デザイン提案の参考資料
Tsutomu Sogitani
問いかけの作法輪読会#2(ファクトリー型/ワークショップ型)
問いかけの作法輪読会#2(ファクトリー型/ワークショップ型)
瑛一 西口
カヤックコピー部のコピー講座
カヤックコピー部のコピー講座
コピーライターはせがわ てつじ
アジャイル開発はWhyから始まる
アジャイル開発はWhyから始まる
toshihiro ichitani
Recomendados
インセプションデッキの紹介
インセプションデッキの紹介
lita
Od zera do designera
Od zera do designera
Magdalena Ruta
5分でわかった気になるインセプションデッキ
5分でわかった気になるインセプションデッキ
Takao Oyobe
『RUNNING LEAN』を大学生向けにまとめた
『RUNNING LEAN』を大学生向けにまとめた
Akira Kashihara
デザイン提案の参考資料
デザイン提案の参考資料
Tsutomu Sogitani
問いかけの作法輪読会#2(ファクトリー型/ワークショップ型)
問いかけの作法輪読会#2(ファクトリー型/ワークショップ型)
瑛一 西口
カヤックコピー部のコピー講座
カヤックコピー部のコピー講座
コピーライターはせがわ てつじ
アジャイル開発はWhyから始まる
アジャイル開発はWhyから始まる
toshihiro ichitani
とりあえずいい感じになるPower Pointテンプレート「Azusa Colors 改」を作った
とりあえずいい感じになるPower Pointテンプレート「Azusa Colors 改」を作った
幹弘 松山
ユーザーストーリー駆動開発で行こう。
ユーザーストーリー駆動開発で行こう。
toshihiro ichitani
Webマーケティングの全体像
Webマーケティングの全体像
ナイル株式会社
ナラティブ・プロトタイピング
ナラティブ・プロトタイピング
toshihiro ichitani
Unityネイティブプラグインの勧め
Unityネイティブプラグインの勧め
KLab Inc. / Tech
正しくないものをつくらない。7つの失敗パターン
正しくないものをつくらない。7つの失敗パターン
toshihiro ichitani
人間と話す: Lean Customer Development (Lean Startup Update 2015)
人間と話す: Lean Customer Development (Lean Startup Update 2015)
Takaaki Umada
データドリブン経営のメトリクス分析 AARRR!モデルの紹介
データドリブン経営のメトリクス分析 AARRR!モデルの紹介
pLucky
これでわかる!Webアクセシビリティって?JIS X 8341-3って?
これでわかる!Webアクセシビリティって?JIS X 8341-3って?
Web Accessibility Infrastructure Committee (WAIC)
時を超えた越境への道
時を超えた越境への道
toshihiro ichitani
俺のインセプションデッキ【Remaster版】
俺のインセプションデッキ【Remaster版】
Takao Oyobe
なぜ企業はWebアクセシビリティに取り組むのか?
なぜ企業はWebアクセシビリティに取り組むのか?
Web Accessibility Infrastructure Committee (WAIC)
アジャイルコーチが現場で学んだプロダクトオーナーの実際と勘所 POの二番目に大事なことと
アジャイルコーチが現場で学んだプロダクトオーナーの実際と勘所 POの二番目に大事なことと
Yasui Tsutomu
自律的なチームを作るために —組織心理学・臨床心理学の応用—
自律的なチームを作るために —組織心理学・臨床心理学の応用—
MILI-LLC
コンテンツ作りの三原則
コンテンツ作りの三原則
INFOBAHN.inc(株式会社インフォバーン)
Scrumの紹介とXPプロジェクトへの適用(Scrum and XP)
Scrumの紹介とXPプロジェクトへの適用(Scrum and XP)
Masashi Umezawa
UXデザイン実践のために押さえておきたい大事なこと 先生:瀧 知恵美
UXデザイン実践のために押さえておきたい大事なこと 先生:瀧 知恵美
schoowebcampus
リーンスタートアップと顧客開発とアジャイル開発を一気通貫するッ #devlove #devkan
リーンスタートアップと顧客開発とアジャイル開発を一気通貫するッ #devlove #devkan
Itsuki Kuroda
見えない壁を越えよう!アジャイルやマイクロサービスを阻む「今までのやり方」 - デブサミ夏2023
見えない壁を越えよう!アジャイルやマイクロサービスを阻む「今までのやり方」 - デブサミ夏2023
Yusuke Suzuki
効果的なスプリントプランニングのトライ
効果的なスプリントプランニングのトライ
貴明 今井
Bypassing anti virus using powershell
Bypassing anti virus using powershell
abend_cve_9999_0001
ポートスキャンを擬人化してみた
ポートスキャンを擬人化してみた
abend_cve_9999_0001
Mais conteúdo relacionado
Mais procurados
とりあえずいい感じになるPower Pointテンプレート「Azusa Colors 改」を作った
とりあえずいい感じになるPower Pointテンプレート「Azusa Colors 改」を作った
幹弘 松山
ユーザーストーリー駆動開発で行こう。
ユーザーストーリー駆動開発で行こう。
toshihiro ichitani
Webマーケティングの全体像
Webマーケティングの全体像
ナイル株式会社
ナラティブ・プロトタイピング
ナラティブ・プロトタイピング
toshihiro ichitani
Unityネイティブプラグインの勧め
Unityネイティブプラグインの勧め
KLab Inc. / Tech
正しくないものをつくらない。7つの失敗パターン
正しくないものをつくらない。7つの失敗パターン
toshihiro ichitani
人間と話す: Lean Customer Development (Lean Startup Update 2015)
人間と話す: Lean Customer Development (Lean Startup Update 2015)
Takaaki Umada
データドリブン経営のメトリクス分析 AARRR!モデルの紹介
データドリブン経営のメトリクス分析 AARRR!モデルの紹介
pLucky
これでわかる!Webアクセシビリティって?JIS X 8341-3って?
これでわかる!Webアクセシビリティって?JIS X 8341-3って?
Web Accessibility Infrastructure Committee (WAIC)
時を超えた越境への道
時を超えた越境への道
toshihiro ichitani
俺のインセプションデッキ【Remaster版】
俺のインセプションデッキ【Remaster版】
Takao Oyobe
なぜ企業はWebアクセシビリティに取り組むのか?
なぜ企業はWebアクセシビリティに取り組むのか?
Web Accessibility Infrastructure Committee (WAIC)
アジャイルコーチが現場で学んだプロダクトオーナーの実際と勘所 POの二番目に大事なことと
アジャイルコーチが現場で学んだプロダクトオーナーの実際と勘所 POの二番目に大事なことと
Yasui Tsutomu
自律的なチームを作るために —組織心理学・臨床心理学の応用—
自律的なチームを作るために —組織心理学・臨床心理学の応用—
MILI-LLC
コンテンツ作りの三原則
コンテンツ作りの三原則
INFOBAHN.inc(株式会社インフォバーン)
Scrumの紹介とXPプロジェクトへの適用(Scrum and XP)
Scrumの紹介とXPプロジェクトへの適用(Scrum and XP)
Masashi Umezawa
UXデザイン実践のために押さえておきたい大事なこと 先生:瀧 知恵美
UXデザイン実践のために押さえておきたい大事なこと 先生:瀧 知恵美
schoowebcampus
リーンスタートアップと顧客開発とアジャイル開発を一気通貫するッ #devlove #devkan
リーンスタートアップと顧客開発とアジャイル開発を一気通貫するッ #devlove #devkan
Itsuki Kuroda
見えない壁を越えよう!アジャイルやマイクロサービスを阻む「今までのやり方」 - デブサミ夏2023
見えない壁を越えよう!アジャイルやマイクロサービスを阻む「今までのやり方」 - デブサミ夏2023
Yusuke Suzuki
効果的なスプリントプランニングのトライ
効果的なスプリントプランニングのトライ
貴明 今井
Mais procurados
(20)
とりあえずいい感じになるPower Pointテンプレート「Azusa Colors 改」を作った
とりあえずいい感じになるPower Pointテンプレート「Azusa Colors 改」を作った
ユーザーストーリー駆動開発で行こう。
ユーザーストーリー駆動開発で行こう。
Webマーケティングの全体像
Webマーケティングの全体像
ナラティブ・プロトタイピング
ナラティブ・プロトタイピング
Unityネイティブプラグインの勧め
Unityネイティブプラグインの勧め
正しくないものをつくらない。7つの失敗パターン
正しくないものをつくらない。7つの失敗パターン
人間と話す: Lean Customer Development (Lean Startup Update 2015)
人間と話す: Lean Customer Development (Lean Startup Update 2015)
データドリブン経営のメトリクス分析 AARRR!モデルの紹介
データドリブン経営のメトリクス分析 AARRR!モデルの紹介
これでわかる!Webアクセシビリティって?JIS X 8341-3って?
これでわかる!Webアクセシビリティって?JIS X 8341-3って?
時を超えた越境への道
時を超えた越境への道
俺のインセプションデッキ【Remaster版】
俺のインセプションデッキ【Remaster版】
なぜ企業はWebアクセシビリティに取り組むのか?
なぜ企業はWebアクセシビリティに取り組むのか?
アジャイルコーチが現場で学んだプロダクトオーナーの実際と勘所 POの二番目に大事なことと
アジャイルコーチが現場で学んだプロダクトオーナーの実際と勘所 POの二番目に大事なことと
自律的なチームを作るために —組織心理学・臨床心理学の応用—
自律的なチームを作るために —組織心理学・臨床心理学の応用—
コンテンツ作りの三原則
コンテンツ作りの三原則
Scrumの紹介とXPプロジェクトへの適用(Scrum and XP)
Scrumの紹介とXPプロジェクトへの適用(Scrum and XP)
UXデザイン実践のために押さえておきたい大事なこと 先生:瀧 知恵美
UXデザイン実践のために押さえておきたい大事なこと 先生:瀧 知恵美
リーンスタートアップと顧客開発とアジャイル開発を一気通貫するッ #devlove #devkan
リーンスタートアップと顧客開発とアジャイル開発を一気通貫するッ #devlove #devkan
見えない壁を越えよう!アジャイルやマイクロサービスを阻む「今までのやり方」 - デブサミ夏2023
見えない壁を越えよう!アジャイルやマイクロサービスを阻む「今までのやり方」 - デブサミ夏2023
効果的なスプリントプランニングのトライ
効果的なスプリントプランニングのトライ
Mais de abend_cve_9999_0001
Bypassing anti virus using powershell
Bypassing anti virus using powershell
abend_cve_9999_0001
ポートスキャンを擬人化してみた
ポートスキャンを擬人化してみた
abend_cve_9999_0001
Bypassing Windows Security Functions(ja)
Bypassing Windows Security Functions(ja)
abend_cve_9999_0001
Bypassing Windows Security Functions(en)
Bypassing Windows Security Functions(en)
abend_cve_9999_0001
Burp Suite Japanユーザグループ紹介
Burp Suite Japanユーザグループ紹介
abend_cve_9999_0001
バックアップファイルの管理
バックアップファイルの管理
abend_cve_9999_0001
標的型攻撃からどのように身を守るのか
標的型攻撃からどのように身を守るのか
abend_cve_9999_0001
Your hash is.
Your hash is.
abend_cve_9999_0001
Nmapの真実(続)
Nmapの真実(続)
abend_cve_9999_0001
Nmap 9 truth "Nothing to say any more"
Nmap 9 truth "Nothing to say any more"
abend_cve_9999_0001
Nmap 9つの真実
Nmap 9つの真実
abend_cve_9999_0001
Nmapの真実
Nmapの真実
abend_cve_9999_0001
Burpで指定文字列を検索
Burpで指定文字列を検索
abend_cve_9999_0001
The vulnerabilities never bothered me anyway
The vulnerabilities never bothered me anyway
abend_cve_9999_0001
フリーでできるセキュリティチェック OpenVAS CLI編
フリーでできるセキュリティチェック OpenVAS CLI編
abend_cve_9999_0001
もしWebセキュリティのエンジニアがRFC7540の「HTTP/2アプリ」をWeb診断したら
もしWebセキュリティのエンジニアがRFC7540の「HTTP/2アプリ」をWeb診断したら
abend_cve_9999_0001
フリーでできるWebセキュリティ(burp編)
フリーでできるWebセキュリティ(burp編)
abend_cve_9999_0001
Burp番外編~バープ、チョトニホンゴデキル~
Burp番外編~バープ、チョトニホンゴデキル~
abend_cve_9999_0001
おちこんだりもしたけど、私は元気です。
おちこんだりもしたけど、私は元気です。
abend_cve_9999_0001
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
abend_cve_9999_0001
Mais de abend_cve_9999_0001
(20)
Bypassing anti virus using powershell
Bypassing anti virus using powershell
ポートスキャンを擬人化してみた
ポートスキャンを擬人化してみた
Bypassing Windows Security Functions(ja)
Bypassing Windows Security Functions(ja)
Bypassing Windows Security Functions(en)
Bypassing Windows Security Functions(en)
Burp Suite Japanユーザグループ紹介
Burp Suite Japanユーザグループ紹介
バックアップファイルの管理
バックアップファイルの管理
標的型攻撃からどのように身を守るのか
標的型攻撃からどのように身を守るのか
Your hash is.
Your hash is.
Nmapの真実(続)
Nmapの真実(続)
Nmap 9 truth "Nothing to say any more"
Nmap 9 truth "Nothing to say any more"
Nmap 9つの真実
Nmap 9つの真実
Nmapの真実
Nmapの真実
Burpで指定文字列を検索
Burpで指定文字列を検索
The vulnerabilities never bothered me anyway
The vulnerabilities never bothered me anyway
フリーでできるセキュリティチェック OpenVAS CLI編
フリーでできるセキュリティチェック OpenVAS CLI編
もしWebセキュリティのエンジニアがRFC7540の「HTTP/2アプリ」をWeb診断したら
もしWebセキュリティのエンジニアがRFC7540の「HTTP/2アプリ」をWeb診断したら
フリーでできるWebセキュリティ(burp編)
フリーでできるWebセキュリティ(burp編)
Burp番外編~バープ、チョトニホンゴデキル~
Burp番外編~バープ、チョトニホンゴデキル~
おちこんだりもしたけど、私は元気です。
おちこんだりもしたけど、私は元気です。
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
フリーでできるセキュリティWeb編(SQLMあpを楽しもう)
クリックジャッキング
1.
~ 1クリックの後悔~ ※本稿の内容を管理下ではない環境に対して 実施しないでください。
2.
自己紹介 Twitter: abend Webセキュリティをメインでやってます。 本が出てます。
3.
クリックジャッキングって 見た目上、無害に見せかけてた罠サイトに利用者を誘導 し、利用者が意図しない操作を正規サイトに対して実行 させる攻撃手法。 Robert Hansen &
Jeremiah Grossmanに2008年にOWASP で発表された。 IPA http://www.ipa.go.jp/about/technicalwatch/20130326.html
4.
StyleSheetを用いて正規サイトを透過させるため、見た目 では無害な罠サイトであると誤認識させて、利用者が正 規サイトで意図せず処理を実行してしまう。 罠サイト クリックジャッキングって 罠ボタン 正規サイト ボタン 正規サイトは 全く見えない 状態にする。
5.
じゃあ、やってみる <クリックジャッキングに必要なもの> ・攻撃対象サイト ・罠サイト ・攻撃者 ・被害者 ・被害者が利用するブラウザ
6.
攻撃対象サイトの用意 脆弱性検証用に作成したショッピングサイトをターゲッ ト。 会員制のショッピングサイトで、認証済みの利用者が商 品を購入可能なサイト。
7.
罠サイトの用意 ネタを仕込み済みの罠サイトを使用。
8.
罠サイトの中身 罠サイトでは2つのことをしています。 ・ 埋め込まれたサイトのstyle属性を変更し、見えないようにする。 ・ iframeを用いて、攻撃対象サイトを罠サイトに埋め込む。
9.
罠サイトの中身 変更しているstyle属性は、以下の通り。 filter:alpha(opacity=0); opacity: 0.0; -moz-opacity: 0.0; →IE6 →ほとんどのブラウザ →古いFirefoxやNetscape とりあえず、いろいろ仕込んでおけば、多くのブラ ウザで有効化(見えなくなる)される。
10.
罠サイトの中身 スケスケ度30%に設定 ああっ。
11.
2クリックが紡ぐ新たなストー リー 通常の退会処理手順
12.
ログイン済みのユーザを誘導して・・・。 2クリックが紡ぐ新たなストー リー
13.
2クリックが紡ぐ新たなストー リー
14.
2クリックが紡ぐ新たなストー リー
15.
たとえば、「いいね」ボタンを押させるなど・・・ 1クリックの後悔 アダルトサイトで「いいね」を連呼させられるな ど・・・ 攻撃対象サイト 罠サイト(スケスケ度3 0%)
16.
どう守る? サーバ側とユーザ側で対策を行う必要がある。 サーバ側 ユーザ側 守りたいサイトがiframeで表示できないようにX-FRAME-OPTIONS ヘッダを埋め込む。 X-FRAME-OPTIONSヘッダを認識するブラウザを使用する。
17.
どう守る? 攻撃対象サイトの対策実施前 HTTP/1.1 200 OK Date:
Sat, 06 Jul 2013 07:51:54 GMT Set-Cookie: JSESSIONID=01081CAB2A51C5D0B2317A80B400E79E; Path=/WithUS/; HttpOnly Set-Cookie: cart=""; Path=/ Content-Type: text/html;charset=utf-8 Connection: close Content-Length: 12802
18.
どう守る? 攻撃対象サイトの対策実施後 HTTP/1.1 200 OK Date:
Sat, 06 Jul 2013 08:27:45 GMT X-FRAME-OPTIONS: DENY Set-Cookie: JSESSIONID=7C1504026774FBB9AB462F66D060251B; Path=/; HttpOnly Content-Type: text/html;charset=utf-8 Connection: close Content-Length: 12802 DENY サイト側の意図に関わらず、ページをフレーム内に表示することはできません。 SAMEORIGIN 自身と生成元が同じフレーム内に限り、ページを表示することができます。ALLOW- FROM uri 指定された生成元に限り、ページをフレーム内に表示できます。 オプション内容
19.
ユーザ側は、古いブラウザを使わないってのが一番の対策。 以下、記載よりも新しければOK。(リリース時期) どう守る? IE8.0(2009年3月) Safari4.0(2009年6月) Chrome4.1.249.1042(2010年4月) Firefox3.6.9(2010年9月) Opera10.5(2010年10月) ちゃんとアップデートしましょう。
20.
ブラウザでも動作の止め方が異なります。 以下は、スケスケ度30%でのブラウザごとの挙動。 どう守る? IE Chrome、Firefox、Opera IEの場合、エラーメッセージ表示される。それ以外のブラウザは、 特に何もなし。この点においては、IEの方が親切。
21.
Chrome、Firefox、OperaもIE同様エラーメッセージを表示するよう にしてほしい。クリックジャッキングのリスクはないにしても、被 害者にアクセスしているサイトが罠サイトであると気づいてもらえ るようにした方がいいと思う。 いろいろと。 <ブラウザに関して> サーバアプリは、デフォルトでX-FRAME-OPTIONS(値:DENY)を セットするようにしてほしい。クライアントが最新ブラウザ使っても サーバで何もしていなければ意味がないので。 <サーバに関して>
22.
追加情報だよ。 http://www.sophos.com/ja-jp/press-office/press-releases/2013/06/ns-anatomy-of- a-browser-trick.aspx SOPHOSから新手のクリックジャッキングの手法に関してのレポート が2013年6月29日に出てました。 不正なファイルを実行させるための方法で、EXEをダウンロードさせ、 CHAPCHAなどを用いて「E」を入力させることで実行させるというも のです。 ブラウザの種類によって挙動が異なるため、有効性は不明。対策は前 述のとおり。
Baixar agora