# BrowExt - ClickJacking {{#include ../../banners/hacktricks-training.md}} ## Basic Information Ukurasa huu utafaidika na udhaifu wa ClickJacking katika nyongeza ya Kivinjari.\ Ikiwa hujui ClickJacking ni nini angalia: {{#ref}} ../clickjacking.md {{#endref}} Nyongeza zina faili **`manifest.json`** na faili hiyo ya JSON ina uwanja `web_accessible_resources`. Hapa kuna kile [nyaraka za Chrome](https://developer.chrome.com/extensions/manifest/web_accessible_resources) zinasema kuhusu hilo: > Rasilimali hizi zitapatikana katika ukurasa wa wavuti kupitia URL **`chrome-extension://[PACKAGE ID]/[PATH]`**, ambayo inaweza kuzalishwa kwa kutumia **`extension.getURL method`**. Rasilimali zilizoorodheshwa zinatolewa na vichwa vya CORS vinavyofaa, hivyo zinapatikana kupitia mitambo kama XHR.[1](https://blog.lizzie.io/clickjacking-privacy-badger.html#fn.1) **`web_accessible_resources`** katika nyongeza ya kivinjari si tu zinapatikana kupitia wavuti; pia zinafanya kazi kwa ruhusa za ndani za nyongeza. Hii inamaanisha zina uwezo wa: - Kubadilisha hali ya nyongeza - Kupakia rasilimali za ziada - Kuingiliana na kivinjari hadi kiwango fulani Hata hivyo, kipengele hiki kinatoa hatari ya usalama. Ikiwa rasilimali ndani ya **`web_accessible_resources`** ina kazi yoyote muhimu, mshambuliaji anaweza kuingiza rasilimali hii kwenye ukurasa wa wavuti wa nje. Watumiaji wasiojua wanaotembelea ukurasa huu wanaweza bila kukusudia kuamsha rasilimali hii iliyounganishwa. Kuamsha kwa namna hiyo kunaweza kusababisha matokeo yasiyokusudiwa, kulingana na ruhusa na uwezo wa rasilimali za nyongeza. ## PrivacyBadger Example Katika nyongeza ya PrivacyBadger, udhaifu uligundulika kuhusiana na saraka ya `skin/` kutangazwa kama `web_accessible_resources` kwa njia ifuatayo (Angalia [blogu ya asili](https://blog.lizzie.io/clickjacking-privacy-badger.html)): ```json "web_accessible_resources": [ "skin/*", "icons/*" ] ``` Hii usanidi ilisababisha tatizo la usalama. Kwa haswa, faili ya `skin/popup.html`, ambayo inatolewa wakati wa mwingiliano na ikoni ya PrivacyBadger kwenye kivinjari, inaweza kuingizwa ndani ya `iframe`. Kuingizwa huku kunaweza kutumika kudanganya watumiaji kujiingiza kwa bahati mbaya kwenye kubofya "Disable PrivacyBadger for this Website". Kitendo kama hicho kingeathiri faragha ya mtumiaji kwa kuzima ulinzi wa PrivacyBadger na kwa uwezekano kupelekea mtumiaji kufuatiliwa zaidi. Onyesho la kuona la exploit hii linaweza kuangaliwa katika mfano wa video ya ClickJacking iliyotolewa kwenye [**https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm**](https://blog.lizzie.io/clickjacking-privacy-badger/badger-fade.webm). Ili kushughulikia udhaifu huu, suluhisho rahisi lilitekelezwa: kuondoa `/skin/*` kutoka kwenye orodha ya `web_accessible_resources`. Mabadiliko haya yalipunguza hatari kwa kuhakikisha kwamba maudhui ya saraka ya `skin/` hayawezi kufikiwa au kubadilishwa kupitia rasilimali zinazoweza kufikiwa mtandaoni. Suluhisho lilikuwa rahisi: **ondoa `/skin/*` kutoka kwenye `web_accessible_resources`**. ### PoC ```html