Neu Clickjacker Bug Report, Spammail oder echt?

GandG

Aktives Mitglied
27. Oktober 2016
27
2
Hi zusammen,

ich hab heute morgen eine Mail bekommen, die erstmal echt aussieht. Einfach, weil es einfach keinen Link drinnen gibt den man fürs Phishing verwenden könnte.
Und zum Stichwort "Clickjacker" habe ich hier nichts gefunden.

Hi team
I have found a bug in your website

Bug type : UI Redressing
Impact : Phishing (account compromise)

Description :
Clickjacking, also known as a "UI redress attack", is when an attacker uses multiple transparent or opaque layers to trick a user into clicking on a button or link on another page when they were intending to click on the top level page. Thus, the attacker is "hijacking" clicks meant for their page and routing them to another page, most likely owned by another application, domain, or both.
Using a similar technique, keystrokes can also be hijacked. With a carefully crafted combination of stylesheets, iframes, and text boxes, a user can be led to believe they are typing in the password to their email or bank account, but are instead typing into an invisible frame controlled by the attacker.

POC:


<html>
<body>
<h1> Website is vulnerable to clickjacking<h1>
<iframe width =100% height=80% src ="https:// unserwebshop /"></iframe>
</body>
</html>

Impact:
The site can also be opened in an iframe after the user has logged it making it hard for the user to avoid phishing.A user can be tricked into entering his credentials in what may be the placeholder for the original website details. And thus his credentials would be sent to the attacker. Furthermore the Payment page is also vulnerable to UI redressing Allowing for an attacker to gain access to the users payment credentials.

Remediation :
Add an iframe destroyer in the header of the page . Also if you would like for your website to open is specified Iframe origin headers then you can define the Origin headers for those websites or origins.

Note :
I am also attaching a screenshot as proof of concept. Furthermore its not just the login page that is affected by this vulnerability.

waiting for your response
Regards

Dabei ist noch ein Screenshot von "Clickjacker.io" wo man die Sicherheitslücke (?) auf unserer Seite bestätigen kann.

Sorgen mach ich mir aber, weil bei dem Test vom JTL- Shop selbst alles grün ist:
https://clickjacker.io/test?url=https://www.jtl-software.de/jtl-store/tarife-amazon-ebay-anbindung

Meiner ist rot :(
 

GandG

Aktives Mitglied
27. Oktober 2016
27
2
Nochmals Danke!
Hat funktioniert, ist wieder sicher.
War nur eine Zeile Text die ich in die .htaccess eingefügt hab, aber ich fühl mich grad wie Neo nachdem er die Matrix begriffen hat :cool:
 

GandG

Aktives Mitglied
27. Oktober 2016
27
2
ich weiß nicht ob es da stehen muss, aber unter die Zeile "Header unset X-Powered-By" habe ich das hinzugefügt:
Header always set X-Frame-Options "sameorigin"

Und als Test: Auf einem anderen Server (von unserer normalen Internetseite, die ist getrennt von dem Shop) habe ich eine HTML-Datei hochgeladen die aus diesem Text besteht:
Code:
<html>
<head>
<title>Clickjack test page</title>
</head>
<body>
<p>Wenn hier was steht, gibt es die Clickjack Gefahr</p>
<iframe src="https://DEINESEITE.de" width="500" height="500"></iframe>
</body>
</html>
Wenn du die dann aufrufst (über: deinezweiteseite.de/test.html) und dort steht das die Verbindung geblockt ist, dann soll wohl alles stimmen. Erscheint deine Internetseite in dem Fenster, ist die Gefahr noch da.
Abgelehnt.jpg
 
Ähnliche Themen
Titel Forum Antworten Datum
PROBLEM/BUG bei Auftrag Übernahme in die JTL- POS JTL-Wawi 1.6 3
Neu Bug Syntaxprüfung Exportformate JTL-Shop - Fehler und Bugs 0
Neu Nach einem Upselling Verkauf wurden nicht alle Produkte in die WaWi übermittelt, ein bekannter Bug? Shopify-Connector 0
Neu BUG? Nicht erkannten doppelten Eintrag Schnittstellen Import / Export 0
Neu BUG: Sprachwechsel CMS wiedermal unzuverlässig JTL-Shop - Fehler und Bugs 0
Neu Minimaler Bug im Dashboard. Gruppierung Zeitbereich wird nur im Dashboard nicht korrekt angezeigt JTL-Wawi - Fehler und Bugs 0
In Bearbeitung JTL-POS v. 1.0.6.2 Bug: Artikel wird nach Eingabe der EAN 2x zum Bon hinzugefügt JTL-POS - Fehler und Bugs 5
Neu Formulareditor: Bug beim Entfernen von Projektbausteinen [Wawi 1.6.36.0] JTL-Wawi - Fehler und Bugs 1
Neu Workflow Markierung bei Lieferscheine - Bug JTL-Wawi - Fehler und Bugs 0
Neu Bug in der Kartonverwaltung JTL-Wawi - Fehler und Bugs 3
Neu Bug in Synchronisation der Kundendaten Wawi > Shop? JTL-Wawi - Fehler und Bugs 1
Neu Eigene Felder "Bug" ? JTL-Wawi - Fehler und Bugs 2
Beantwortet Error 500 bei Sync - Bug nach Update von shop4 auf shop5 - Bilder teilweise an der falschen stelle und kategorien fehlerheft JTL-Wawi - Fehler und Bugs 4
Fehlermeldung: SLR500: Report existert nicht kaufland.de - Anbindung (SCX) 1
Neu Report zu einem Lieferanten mit Summe der Einkäufe und Verkäufe Druck-/ E-Mail-/ Exportvorlagen in JTL-Wawi 0
Neu syntaxfehler `Report.ExternalSalesOrderNumber` User helfen Usern - Fragen zu JTL-Wawi 2

Ähnliche Themen