新的“DoubleClickjacking”漏洞可绕过网站的劫持保护
💡
原文中文，约1400字，阅读约需4分钟。
📝
内容提要
安全专家发现一种新型“双击劫持”漏洞，利用双击操作进行点击劫持和账户接管，几乎影响所有大型网站。该漏洞绕过现有防护，攻击者通过时间差实现恶意重定向。建议网站所有者禁用关键按钮，浏览器应采纳新标准以防此类攻击。
🎯
关键要点
- 安全专家发现新型“双击劫持”漏洞，影响几乎所有大型网站。
- 该漏洞利用双击操作进行点击劫持和账户接管，绕过现有防护措施。
- 攻击者通过时间差实现恶意重定向，诱使用户点击看似无害的网页元素。
- 具体攻击步骤包括访问攻击者控制的网站、伪装内容、重定向至恶意页面等。
- 网站所有者可通过禁用关键按钮和检测鼠标手势来消除漏洞。
- 建议浏览器供应商采纳新标准以防御双击利用。
- DoubleClickjacking是点击劫持攻击的变种，利用点击之间的时间差。
- 研究人员曾展示另一种点击劫持变体，依赖用户按下Enter或空格键进行攻击。
❓
延伸问答
什么是DoubleClickjacking漏洞？
DoubleClickjacking是一种利用双击操作进行点击劫持和账户接管的漏洞，几乎影响所有大型网站。
DoubleClickjacking漏洞是如何绕过现有防护措施的？
该漏洞通过利用双击之间的时间差，绕过了X-Frame-Options和SameSite cookie等现有防护措施。
网站所有者如何防范DoubleClickjacking漏洞？
网站所有者可以禁用关键按钮，并在检测到鼠标手势时才激活这些按钮，以消除漏洞。
攻击者如何利用DoubleClickjacking进行攻击？
攻击者通过控制的网站诱使用户双击看似无害的内容，从而实现恶意重定向和账户接管。
浏览器供应商应如何应对DoubleClickjacking漏洞？
建议浏览器供应商采纳类似X-Frame-Options的新标准，以防御双击利用。
DoubleClickjacking与其他点击劫持攻击有何不同？
DoubleClickjacking是点击劫持的变种，利用双击的时间差，而其他攻击可能只依赖单次点击。
➡️
