クリックジャッキング

透明なレイヤーを重ねるなどしてWebページの見た目を偽装し、ユーザーが意図しないボタンやリンクをクリックさせる攻撃手法。

透明にした別サイトの画面を重ねて表示し、利用者が意図しないボタンを押させる攻撃。SNSの公開設定の変更などに悪用される。他サイトでの枠内表示を禁止する設定で防ぐ。

透明化した正規サイトのページを罠ページに重ね、利用者が別のものをクリックしたつもりで正規サイトの操作を実行させる攻撃。X-Frame-OptionsやCSPのframe-ancestorsで、他サイトからのフレーム埋込みを禁止して防ぐ。

透明なレイヤーを重ねるなどしてWebページの見た目を偽装し、ユーザーが意図しないボタンやリンクをクリックさせる攻撃手法。

パスワードを固定し、利用者IDのほうを次々に変えて試す攻撃。同一IDへの連続失敗を検知するアカウントロックを回避できるため、ログイン試行の総量監視などが必要になる。

ログイン中の利用者に、本人の意図しないリクエストを別サイト経由で送信させ、退会や送金などの操作を実行させる攻撃。処理ごとに秘密のトークンを埋め込んで検証することで防ぐ。

Webアプリケーションの入力値にOSのコマンドを紛れ込ませ、サーバ上で不正に実行させる攻撃。ファイルの窃取や削除、他のサーバへの侵入の踏み台化を招く。

ファイル名の指定に相対パスを紛れ込ませ、公開範囲外のファイルを不正に読み出す攻撃。パス名の検証や、利用者からのファイル名指定を許さない設計で防ぐ。

利用者のWebブラウザにマルウェアを仕込み、正規サイトへの通信内容を画面表示はそのままに書き換える攻撃。インターネットバンキングの送金先を差し替える不正送金に使われる。

送信元IPアドレスを偽装してパケットを送る攻撃。アクセス制御の回避や攻撃元の隠蔽、反射型DDoS攻撃に用いられる。