DoubleClick劫持漏洞

威脅分析師發現了一類新發現的基於時間的漏洞，該漏洞利用雙擊序列在眾多重要網站上進行點擊劫持攻擊和未經授權的帳戶存取。這種被稱為 DoubleClickjacking 的技術引入了一種新穎的 UI 操作方法，可以規避現有的安全措施。

點擊劫持的新方法

與依賴單次使用者點擊的傳統點擊劫持方法不同，DoubleClickjacking 利用了兩次連續點擊之間的短暫延遲。雖然這看起來像是一個微小的轉變，但它有效地繞過了 X-Frame-Options 標頭和 SameSite: Lax/Strict cookie 設定等保護措施。

點擊劫持，也稱為 UI 修正，欺騙用戶與他們認為無害的元素（例如按鈕）進行交互，結果卻觸發意外操作，包括資料外洩或安全漏洞。 DoubleClickjacking 透過利用點擊之間的間隔來完善這一概念，允許攻擊者在最少的用戶參與的情況下覆蓋安全控制並劫持帳戶。

攻擊如何進行

該技術按以下順序展開：

• 當使用者造訪詐騙網站時，網站會自動開啟新的瀏覽器標籤或提示使用者這樣做。
• 這個新視窗可能會作為常規驗證碼驗證出現，指示使用者雙擊。
• 當雙擊發生時，原始網站會悄悄重定向到惡意頁面，例如 OAuth 授權請求。
• 同時，彈出視窗關閉，導致使用者在不知不覺中批准了原始網站上的關鍵權限請求。

由於大多數 Web 安全防禦措施的設計目的只是對抗單次強制點擊，因此這種方法有效地繞過了傳統的防護措施。 X-Frame-Options、SameSite cookie 和內容安全性原則 (CSP) 等措施無法緩解這種威脅。

預防措施和長期解決方案

為了解決此問題，網站開發人員可以實施客戶端保護，停用基本操作按鈕，除非偵測到使用者啟動的滑鼠移動或按鍵。包括 Dropbox 在內的一些平台已經採用此類防禦機制來防止未經授權的互動。

作為長期解決方案，安全專家建議瀏覽器供應商建立類似 X-Frame-Options 的新標準，以有效緩解基於雙擊的攻擊。

點擊劫持的新變化

DoubleClickjacking 是一種有據可查的點擊劫持技術的演變，它利用用戶操作之間微妙的時間間隙，瞬間將合法的 UI 元素與欺騙性的 UI 元素交換。

此披露是在早期披露的跨視窗偽造（手勢劫持）（另一種點擊劫持變體）之後進行的。此技術會誘使用戶在受感染的網站上按下或按住 Enter 或 Space 等鍵，從而啟動意外的操作。

在 Coinbase 和 Yahoo! 等平台上，攻擊者可以利用手勢劫持來劫持帳號。如果登入使用者造訪不安全的網站並按 Enter 或 Space，他們可能會在不知不覺中授權惡意 OAuth 應用程式。這是可能的，因為兩個平台都允許 OAuth 應用程式請求廣泛的存取權限並向授權按鈕分配可預測的靜態標識符，使它們容易受到利用。

隨著點擊劫持方法的不斷發展，安全團隊必須採取主動防禦來保護使用者互動免受日益複雜的威脅。