CSRJ通過ClickJacking

Question

是否可以通過點擊劫持漏洞執行CSRF？

假設我的網站完全免受csrf攻擊，但沒有XFO，那麼是否有任何方式通過點擊劫持漏洞利用CSRF？

我聽說xmlhttprequest可以用來執行csrf，如果沒有XFO但有csrf保護，那麼有什麼想法？

Answer 1

是的，如果沒有X-Frame-Options響應頭存在，攻擊者可以框架您的網頁，使之透明，所以當受害人嘗試點擊攻擊者的網站上的按鈕（例如Click here to win an iPad）他們INFACT與網頁互動（例如Click here to Initiate Bank Transfer）。

這依賴於受害者已經通過目標站點的身份驗證，並且還依賴於該站點上可用的單擊操作。如果填寫的表格不能通過使用參數預先填寫，那麼在不欺騙受害者完成這些操作的情況下，這種特殊攻擊是不可能的。這使得clickjacking無參數形式的風險更大，或者只使用隱藏的輸入或JavaScript變量。

有關更多信息，請參閱OWASP的頁面Clickjacking和Testing for Clickjacking。