Comments on: Clickjacking: Lo que todos callan pero muchos ya saben

By: amarok

amarok — Thu, 02 Oct 2008 23:44:13 +0000

@Mr. Trukit0:
Felicitaciones y gracias. Me ahorraste harto tiempo googleando. Tu explicación está excelente.

By: ¿Cómo nos protegemos del Clickjacking? - FayerWayer

¿Cómo nos protegemos del Clickjacking? - FayerWayer — Thu, 02 Oct 2008 23:02:01 +0000

[...] algunos días les contamos de una vulnerabilidad que afectaba a casi todos los navegadores. Ahora les contamos [...]

By: David.cs

David.cs — Thu, 02 Oct 2008 03:39:52 +0000

Amaya – http://www.w3.org/Amaya
?
Avant – http://www.avantbrowser.com
Mozilla Camino – caminobrowser.org
Epiphany – http://www.gnome.org/projects/epiphany
Mozilla Firefox – http://www.mozilla.com/firefox
Flock – http://www.flock.com
Galeon – galeon.sourceforge.net
?
Internet Explorer 7
Internet Explorer 6
K-Meleon – kmeleon.sourceforge.net
Konqueror – http://www.konqueror.org/features/browser.php
Maxthon – http://www.maxthon.com
Netscape Navigator
OmniWeb – http://www.omnigroup.com/applications/omniweb
Opera – http://www.opera.com
Safari – http://www.apple.com/safari/download
Mozilla Seamonkey – http://www.seamonkey-project.org
Shiira – shiira.jp/en

By: David.cs

David.cs — Thu, 02 Oct 2008 03:35:25 +0000

De izquierda a derecha, estos serían los navegadores correspondientes a los íconos:

Amaya – ? – Avant – Mozilla Camino – Epiphany – Mozilla Firefox – Flock – Galeon – ? – Internet Explorer 7 – Internet Explorer 6 – K-Meleon – Konqueror – Maxthon – Netscape Navigator – OmniWeb – Opera – Safari – Mozilla Seamonkey – Shiira

By: David.cs

David.cs — Thu, 02 Oct 2008 03:29:45 +0000

bien parecido el título

By: Mr_Trukit0

Mr_Trukit0 — Wed, 01 Oct 2008 22:20:30 +0000

@Álvaro: Hasta que Adobe no suelte dicha información, no podremos saber mucho al respecto :/

By: Álvaro

Álvaro — Wed, 01 Oct 2008 22:16:25 +0000

@Mr_Trukit0:
A Adobe no lo puso nadie, Adobe se puso solo en el tema, y no creo que sea por que sus animaciones podrian ocultar iframes.

No te estoy alegando nada porciacaso, pienso puedes tener mucha razón. Pero todo es supuesto, por que no se sabe de que se trata.

By: Mr_Trukit0

Mr_Trukit0 — Wed, 01 Oct 2008 21:04:20 +0000

@Álvaro: No me he metido en el tema de Adobe porque justamente no conozco una aplicación del “clickjacking” usando otra cosa que no sea IFrame, aunque ahora he visto que W3C reemplazará la función de IFrame mediante Object (de manera que Object pueda incrustar páginas HTML al mismo modo de IFrame).

Y respecto a hacer Clickjacking con animaciones Flash, no lo veo factible porque hacer que una animación Flash se vea completamente transparente cuando originalmente no lo es, es algo inviable porque no la renderiza el navegador, sino que DirectX (u OpenGL en el caso de los sistemas no-Windows).

En resumen, no es posible ocultar una animación Flash (proveniente de otro sitio Web) detrás de un documento HTML en un sitio local (sitio malicioso). Pero sí es posible hacer lo contrario, es decir, poner por delante una animación Flash y por detrás código HTML, y ahí se seguiría usando IFrame para invocar al documento remoto y ocultarlo.

En resumen, sigue dependiendo de IFrame visto desde ese punto de vista.

Corríjanme si me equivoco.

Saludos.

By: Álvaro

Álvaro — Wed, 01 Oct 2008 16:40:07 +0000

Sorry, el blog me borró el tag
“object” es el tag que se una para incrustar elmentos.

By: Álvaro

Álvaro — Wed, 01 Oct 2008 16:37:31 +0000

@Mr_Trukit0:
HTML, es un documento de texto, no son programas ni reproductores multimedia. iframe y frame rompen con esa “regla”. Pero estas son muy requeridas, para eso w3c tiene el tag que puede contener otra página un archivo multimedia o un plugin. osea con este tag también se podría hacer los que describes en tu blog.

Buena la explicación en tu blog, pero no explicas por que adobe está tan preocupada por esta vulnerabilidad.

By: Mr_Trukit0

Mr_Trukit0 — Wed, 01 Oct 2008 02:37:54 +0000

@alvaro: ¿En dónde hay alguna prueba de concepto en donde se haga Clickjacking utilizando algún OBJECT?

By: alvaro

alvaro — Wed, 01 Oct 2008 01:45:41 +0000

No sólo de los iframes sino que de todos los elementos tipo “objeto” (flash, applet, frame…)

Lo que aun me pregunto es con que fin se usan los click.

By: Mr_Trukit0

Mr_Trukit0 — Tue, 30 Sep 2008 21:44:26 +0000

Estuve averiguando de qué se trata exactamente todo esto, y en mi blog redacté un artículo explicativo sobre el tema. En resumen, la vulnerabilidad (o al menos lo que hasta el momento se conoce de la potencial serie de vulnerabilidades que se rumorean) está relacionada con el manejo de los IFrames y las sesiones persistentes, y sobre cómo ciertas propiedades inherentes de estos elementos se pueden aprovechar con fines maliciosos. Saludos.

By: ricardator

ricardator — Tue, 30 Sep 2008 13:28:12 +0000

y el dueño del post brilla por su ausencia…

By: EVER

EVER — Tue, 30 Sep 2008 13:09:51 +0000

Mejor pone un link a alguna pagina que de verdad explique el asunto y te sale mejor, pq el articulo no se entiende ni “J”

By: ñañañajajoa

ñañañajajoa — Tue, 30 Sep 2008 02:54:48 +0000

quiero hacer clickjacking en mi pagina web, como le hago?

By: TurboMAC

TurboMAC — Tue, 30 Sep 2008 02:17:17 +0000

Demonios, esta mi navegador favorito en la lista. Konqueror.
De todas maneras confio mucho en el equipo de kde. Mucho mas de lo que confio en cualquier equipo de microsoft.

By: alvaro

alvaro — Tue, 30 Sep 2008 01:47:56 +0000

…mejor instalo links2

Me dió cuco la noticia :S

By: alvaro

alvaro — Tue, 30 Sep 2008 01:43:55 +0000

Pero de que nivel es el problema? Por que si me dicen que es para aumentar los clicks en el adsense, no es nada.

Si el tema es robar clicks obio que javascript lo facilita, pero hay muchas formas de hacer que alguien haga click en algo.

Que tiene el “click” que no tiene el “enter” que hace a lynx y a los navegadores en modo terminal seguros?

By: realswl

realswl — Tue, 30 Sep 2008 00:54:25 +0000

Aaaah estamos listos, con el Lynx nos salvamos …

By: CVillavicencio

CVillavicencio — Mon, 29 Sep 2008 22:37:21 +0000

$ sudo aptitude install lynx
(pa los regalones)

By: Herman

Herman — Mon, 29 Sep 2008 22:09:25 +0000

Para los que todavia no cachan que es el clickjacking: Aqui hay más info Aunque la info es antigua no creo que sea lo mismo que hablan estos viejitos.

By: Nacho

Nacho — Mon, 29 Sep 2008 22:02:37 +0000

¿Cuál ícono es de cada navegador?

By: 1200

1200 — Mon, 29 Sep 2008 21:46:59 +0000

Lo que yo entendí, pero con muchísimas dudas fue que en una página se pueden activar los links solos, sin que el usuario haga clic. Se necesita una aclaración.

Ya suponía que había algún problema, porque la actualización de Firefox 3.02 a la 3.03 fue muy seguida (un par de días). Pero no me imaginé que estaban involucrados todos los navegadores.

By: maestroguru

maestroguru — Mon, 29 Sep 2008 21:05:30 +0000

Podría quien publico esta noticia (ZooTV) explicar un poco más sobre el tema pq con el “en palabras bastante simples ” no se entendió nada.

By: cimoc

cimoc — Mon, 29 Sep 2008 20:55:43 +0000

Cada uno sabe dónde navega…

Esto parece concurso: El que escribe el artículo nos tira un par de pistas para que en los comentarios se complete la información y ganemos manitos verdes xD

Que se entienda, esto no es twiter!

By: Eduardo

Eduardo — Mon, 29 Sep 2008 20:50:12 +0000

MMMM este post parece Copy & paste de http://www.kriptopolis.org/clickjacking

By: Brian

Brian — Mon, 29 Sep 2008 20:28:46 +0000

Chrome no aparece porque la imagen fue creada antes que existiera este navegador.

De izquierda a derecha por filas los navegadores son:

- Amaya, ????, Avant Browser, Camino
- Epiphany, Firefox, Flock, Galeon
- iCab, IE7, IE6, K-meleon
- Konqueror, Maxthon, Netscape, OmniWeb
- Opera, Safari, SeaMonkey, Shiira

Que alguien me diga el nombre del navegador del segundo icono

Pero si es por flash que se presenta este problema y afecta a casi todos los navegadores, No se supone que es culpa de Adobe?

By: Herman

Herman — Mon, 29 Sep 2008 20:05:05 +0000

Lamento la actitud de estos investigadores de no dar a conocer el descubrimiento, hasta ahora lo unico que podria decir es: “ver para creer” ya han existido este tipo de “super ultra mega” vulnerabilidades para darse cuenta que en realidad no lo son tanto.

By: rodo

rodo — Mon, 29 Sep 2008 19:52:52 +0000

bastante complejo el tema, pero en lo cotidiano, en que afecta ????