Oggi ho proprio voglia di ... Clickjacking

Il phishing è uno dei fenomeni (di sicurezza) di massa che attualmente affligge il mondo dell'utenza internet, lo diceva due anni fa gartner ed oggi siamo proprio nella "mainstream adoption":

London, UK, September 18, 2006 — Gartner, Inc. today advised businesses to plan for five increasingly prevalent cyberthreats that have the potential to inflict significant damage on organisations during the next two years. They are; targeted threats, identity theft, spyware, social engineering and viruses.

via New Gartner Hype Cycle Highlights Five High Impact IT Security Risks.

[caption id="" align="aligncenter" width="699" caption="tratto da http://en.wikipedia.org/wiki/Phishing "][/caption]

(Maggiori report dall'APWG)

Ma come perpetuare un attacco di questo tipo?

Visto che oggi più che mai mi sento per la full disclosure, non vi farò attendere troppo

Se fossi un attaccante e volessi fare del phishing il primo problema che mi si pone è quello di non mettere in allerta l'attaccato. Purtroppo, o per fortuna, i vecchi metodi di link manipulation fanno scattare tutti gli strumenti di alerting che abbiamo più o meno installato sulla macchina... allora? Come fare?

ClickJacking: ovvero come offuscare la barra di un browser (nell'esempio firefox) per nascondere il sito target

Una div :

onmouseover="document.location='http://freeuser.org';"
style="position:absolute;width:2px;height:2px;background:#FFFFFF;border:0px">

una semplice function JS:

ed un onclick:

<a href="http://www.google.com" onclick="updatebox(event)"><font
style="font-family:arial;font-size:32px">http://www.google.com</font></a>

... garantiscono il risultato :)

Pagina Html di Test

Provare per credere, buona serata

PS: La "vulnerabilità" è data per FireFox 3.0.5 ... io uso la 3.1beta2 tirate voi le vostre conclusioni!