网页设计,程序设计,网绎 - 新攻击：绑架Click执行恶意程序

网页设计,网页设计公司,网页程序设计,网站程序设计,台北网页设计,无障碍网页设计,3d互动网页设计, 720度环场,网站建置,主机代管,电子商务,政府机关网页设计,公家机关网页设计,网站制作公司

网页设计∣程序设计∣网站规划∣虚拟主机与主机代管∣关于网绎∣我们的服务∣我们的客户∣无障碍网页∣网站优化SEO∣联络我们

::: ∣回首页∣网站地图∣繁体中文∣ENGLISH∣日本语∣

∣

:::

透过网绎将您的网站轻松的通过无障碍网页检测标准，达到转换网页无障碍，扩充单元无障碍，新增内容无障碍的功能。

> 新庄市公所开新窗口

:::	回首页 >> 信息与知识库

标题	新攻击：绑架Click执行恶意程序
主题分类	网络信息
原文章出处	iThome 2008-10-28 记者王宏仁

最近出现了一种新型态的浏览器攻击手法，黑客能够绑架使用者触发确认按钮的鼠标（click）点击动作，来暗中触发恶意程序的执行。资安专家将这种方法称为Clickjacking（点击绑架），问题波及所有浏览器，包括微软新版IE 8.0、Firefox 3.0与最新出炉的Google Chrome等，无一幸免。国外已实际利用此技术做出一个示范的网络游戏。当使用者浏览游戏画面时，实际上已被暗中打开网络摄影机，偷拍使用者活动。

上个月，WhiteHat Security技术长Jeremiah Grossman首度揭露了这个攻击手法Clickjacking（点阅绑架）。这个安全漏洞让黑客能够控制使用者鼠标的点阅动作，他在部落格中表示，几乎所有浏览器都无法幸免，包括微软新版IE 8.0、Firefox 3.0、Apple Safari、Google Chrome等，甚至连Youtube最常使用的Adobe Flash Player也有相同的问题。

这个攻击手法利用HTML语法所支持的某些特殊内嵌对象（例如Opaque对象）来隐藏使用者进行鼠标点阅时的行为。使用者点阅网页画面时，就可能在不知情的情况下，点选了另外一个隐藏的按钮，暗中执行了对使用者系统有安全威胁的指令或恶意程序。

Jeremiah Grossman指出：「使用者可能在不知不觉中，就点下了打开麦克风和网络摄影机的确认按钮，让自己在计算机前的一举一动，都被传送到远程网页中偷录下来。」

上周Adobe已发表了紧急的防护建议，提供企业如何关闭Flash Player上麦克风与摄影功能的方法，并于本周推出Flash Player 10新版来修正。

而Firefox浏览器外挂组件NoScript的作者Giorgio Maone，也迅速在NoScript 1.8.2.1新版中，增加一个ClearClick功能，能够实时警告使用者，是否在无意间透过鼠标或键盘与网页互动，或者点选了网页上的按键，让使用者可以藉此防堵Clickjacking的攻击。

NoScript外挂组件只支持Firefox，其它浏览器则还未针对Clickjacking提出修补程序。目前，国外多数资安专家则建议使用者直接关闭Javascript功能，方能彻底确保安全。

大炮开讲部落格站长邱春树建议：「可以用防护iframe攻击的方法，来防护Clickjacking攻击。」他解释，黑客发动这两种手法的条件是相同的，使用者必须浏览有Clickjacking程序的恶意网站，才会发生问题。因此，他认为，企业只要在浏览器中禁止iframe与 Javascript的执行，或者限制使用者只能在企业内网使用，就可以有效预防Clickjacking。

共同发现Clickjacking漏洞的SecTheory执行长Robert Hansen将于10月底来台参加第二届亚洲资安年会，预定在会议中全球首度公开最新恶意网页攻击手法Clickjacking的攻击细节。

文章整理：
关键词：	攻击,网站,网络安全

网绎数码科技网页设计　地址：台北市复兴南路一段321号3楼　Tel： (02)2704-1758(代表号) Fax： (02)2704-0372　Email：e-service@eki.com.tw