点击劫持攻防手册

先解决什么问题

点击劫持（Clickjacking / UI redress）的核心问题是：用户以为自己在点击诱饵页面上的按钮，实际点击的是透明 iframe 覆盖的目标页面。这种误操作可能触发后台管理动作、权限变更、数据导出或 token 传递。很多团队把它当成低危发现，但只要目标动作具备高影响，风险会迅速放大。

技能如何组织

该技能把排查拆成可执行路径：

• 检测可框架化：检查 X-Frame-Options 响应头与 CSP frame-ancestors。现代浏览器中，CSP frame-ancestors 优先于 X-Frame-Options。
• 快速 PoC：把目标页面放进 iframe，若能加载，说明页面 frameable，可能存在风险。
• 构造点击链：提供单次点击、多步点击和拖放式 PoC 模板。多步动作需按步骤重定位 iframe；拖放攻击可用 HTML5 drag-and-drop 在不可见 iframe 间转移数据或 token。
• 绕过保护：覆盖 frame-busting 脚本的 sandbox 绕过、ALLOW-FROM 在 Chrome/Safari 不受支持的问题，以及 SAMEORIGIN 下借同源中间页实现 Double-Framing。

适用边界

它适合授权范围内的黑盒/灰盒安全测试，尤其用于验证后台敏感操作是否可被透明 iframe 驱动。不能仅因页面可 frame 就判定存在可利用漏洞，还需确认实际动作、状态变化和浏览器行为。遇到现代 CSP frame-ancestors 时，应优先以策略为准，而不是只关注旧版响应头。