不容小视的漏洞——ClickJacking

最新推荐文章于 2025-06-08 00:18:58 发布

LTW.Hinscheung

最新推荐文章于 2025-06-08 00:18:58 发布

阅读量3.7k

点赞数

CC 4.0 BY-SA版权

分类专栏：渗透测试

本文链接：https://blog.csdn.net/weixin_40586270/article/details/82012003

渗透测试专栏收录该内容

29 篇文章

订阅专栏

本文介绍了一种常被忽视的web安全漏洞ClickJacking，通过iframe嵌套透明页面诱导用户误操作。文章提供了防御策略，包括使用ClickjackFilter.jar并配置过滤器阻止iframe嵌套。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

除了XSS和CSRF之外，还有一个被称为ClickJacking的web安全漏洞常常被大家遗忘，但绝对不能忽略。

是一种视觉欺骗手段，在web端就是iframe嵌套一个透明不可见的页面，让用户在不知情的情况下，点击攻击者想要欺骗用户点击的位置。

由于点击劫持的出现，便出现了反frame嵌套的方式，因为点击劫持需要iframe嵌套页面来攻击。

解决方法：配置过滤器

　　首先，将ClickjackFilter.jar添加到lib目录下。

然后，打开webapps\ROOT\WEB-INF\web.xml添加以下过滤器：

<filter>

<filter-name>ClickjackFilterDeny</filter-name>

<filter-class>org.owasp.filters.ClickjackFilter</filter-class>

<init-param>

<param-name>mode</param-name>

<param-value>DENY</param-value>

</init-param>

</filter>

<filter-mapping>

<filter-name>ClickjackFilterDeny</filter-name>

<url-pattern>/*</url-pattern>

</filter-mapping>

重启tomcat服务即可解决。