识别和理解攻击的社区资源
在登录到某些目标系统的同时,受害者访问了对手的恶意网站,该网站显示受害者希望与之互动的UI。实际上,iframe覆盖页面具有可见的UI上方的透明层,并具有对手希望受害者执行的动作控件。受害者点击他们在页面上看到的按钮或其他UI元素,实际上触发了透明覆盖层中的动作控件。根据该行动控制是什么,对手可能只是欺骗了受害者在受害者身份验证的目标系统中执行一些潜在的特权(也是最不受欢迎的)功能。这里的基本问题是,受害者认为他们正在点击的内容与他们实际点击的内容之间存在二分法。
中等的
高的
制作一个iframe覆盖页:对手制作了一个恶意的iframe覆盖页。
对手欺骗受害者加载iframe覆盖页:对手利用某种形式的诱惑,误导或胁迫来欺骗受害者加载和与iframe覆盖页面进行互动,以增加受害者访问恶意页面的机会。
欺骗受害者以所需的方式与iframe覆盖页面互动:对手欺骗受害者,点击包含隐藏动作控制的UI区域,从而与受害者的特权水平恶意与目标系统进行互动。
使用公共攻击模式枚举和分类(CAPEC)以及本网站的相关参考使用条款。Capec由美国国土安全部(DHS)网络安全和基础设施安全局(CISA),由国土安全系统工程和开发研究所(HSSEDI)由manbetx客户端首页(MITER)。版权所有©2007–2023,Miter Comanbetx客户端首页rporation。CAPEC和CAPEC徽标是Miter Corporation的商标。manbetx客户端首页