章强华　韩荣杰

近几年，随着互联网及其应用不断发展，互联网安全态势也不断发展变化。各种针对Web应用的攻击形式不断出现，相对于传统的网络层攻击，这些攻击从应用层入手，可以轻易避开防火墙等传统安全防护设备，利用Web应用的漏洞，直接对Web应用展开攻击。这一类攻击行为往往怀有经济性企图，例如窃取用户账户密码信息、获取用户权限、欺骗用户进行某种操作等，其目的性更明确，影响范围广，危害较大。其中以点击劫持式的攻击形式尤其让人防不胜防。

相识Click Jacking

2008年，SecTheory公司的罗伯特·汉森（Robert Hansen）和白帽安全公司的杰罗麦亚·格罗斯曼（Jeremiah Grossman）首次提出了点击劫持漏洞（Click Jacking）。它是一种基于视觉欺骗的WEB会话劫持攻击，通过在网页的输入控件上覆盖一个不可见的框（Frame），当用户操作该控件时，实际上是在其之上的不可见的框 （Frame）中进行操作。

点击劫持的基本方法是允许攻击者强制Web用户在想要点击良性链接的时候，点击到恶意链接，攻击者可以构建一个恶意的Web页面，用以在用户的电脑上安装rootkit或者其他恶意软件，然后用看起来无害的网页呈现所有页面，比如，其中一个就含有基于Flash的游戏。当用户点击页面上的各种链接和按钮的时候，实际上点击的是被攻击者控制的隐藏的链接。

相知Click Jacking

伴随着WEB2.0的出现，以及HTML5的发展，很多应用操作都已经向WEB上移植，使基于WEB的攻击层出不穷，信息安全也开始过渡到以Web环境为基础、Web应用为载体新时代.相对于WEB安全十多年的发展史，点击劫持算是一种较新型的攻击手法，其发展十分迅速，在百度搜索点击劫持攻击结果中可以看到151000条记录。……