• Tamamen transparan kaplama: Bu metotta transparan legal bir web sayfası özenle hazırlanmış zararlı bir web sitesinde nesnelerin üzerine yerleştirilir. Legal web sayfası görünmez bir iframe içerisinde zararlı web sitesinde yüklenir ve z-index’i yüksek değerde tutularak görünen zararlı web site sayfasının üzerinde konumlandırılır.
  
  
• Kırpma: Bu saldırı türünde saldırgan görünen zararlı web site sayfası üzerindeki transparan frame sayfasının sadece belirli parçalarını kaplama olarak kullanır. Saldırının amacına bağlı olarak bu örneğin butonların önüne görünmez linkler konulması olabilir. Böylece umulandan farklı bir eylem gerçekleştirilir.
  
  
• Gizli kaplama: Bu saldırıda saldırgan 1 px x 1 px ebatlarında zararlı bir içerik içeren iframe oluşturur ve fare imlecinin katmansal olarak hemen altına yerleştirir. iframe fare imlecini takip eder. Herhangi bir tıklamada bu tık zararlı web sayfasında işleyecektir.
  
  
• Tıklama Event’inin Düşmesi: Zararlı bir web sitesinde sayfanın önüne zararlı web sayfasını tamamen kapatacak şekilde legal bir web sayfası iframe’i koyulur. Saldırgan, fare imleci css event özelliğini iframe’de gösterilen (üstte gösterilen) sayfa için none yapar.
  
  
  CSS:
  
  ... { pointer-events: none; }
  
  Böylece tıklamalar üstte görünen sayfada çalışmaz ve tıklama geldiğinde bu tıklama legal web sayfa kaplamasının altındaki zararlı web sayfasına düşer. Zararlı web sayfasındaki nesneler için herhangi bir pointer-events tanımlamaları olmayacağından varsayılan olarak tıklamalar zararlı web sayfası içeriğinde çalışır olacaktır ve saldırgan ön yüzdeki görünen legal web sayfasında tıklanacak yerlerin konumsal olarak altına zararlı unsurlar koyarak tıklamaların arkadaki zararlı web sayfa içeriğinde işlemesi ile zararlı faaliyetler yürütebilir.
  
  
• v.b.
  
  

// Adding X-Frame-Options in Spring Security 
// Using Java Configuration

@EnableWebSecurity
@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .headers()
                .frameOptions();
    }
}

// Adding X-Frame-Options with parameters 
// in Spring Security Using XML Configuration
<http>
    <!-- ... -->
    <headers>
        <frame-options policy="DENY"/>
    </headers>
</http>

http.headers().frameOptions().sameOrigin();

// Adding X-Frame-Options with parameters 
// in Spring Security Using XML Configuration

<http>
    <!-- ... -->
    <headers>
        <frame-options policy="SAMEORIGIN"/>
    </headers>
</http>

• http://whatis.techtarget.com/definition/clickjacking-user-interface-or-UI-redressing-and-IFRAME-overlay
• https://javascript.info/clickjacking
• https://www.keycdn.com/blog/x-frame-options
• https://securityboulevard.com/2019/08/clickjacking-attacks-what-they-are-and-how-to-prevent-them/
• https://www.netsparker.com/blog/web-security/clickjacking-attacks/
• https://developer.mozilla.org/en-US/docs/Web/CSS/pointer-events
• https://cheatsheetseries.owasp.org/cheatsheets/Clickjacking_Defense_Cheat_Sheet.html
• https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options
• https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors
• https://cure53.de/xfo-clickjacking.pdf
• https://www.netsparker.com/web-vulnerability-scanner/vulnerabilities/insecure-frame-external/
• https://www.netsparker.com/web-vulnerability-scanner/vulnerabilities/missing-x-frame-options-header/
• https://stackoverflow.com/questions/3332756/difference-between-window-location-href-and-top-location-href
• http://seclab.stanford.edu/websec/framebusting/framebust.pdf
• https://stackoverflow.com/questions/1192228/scrolling-an-iframe-with-javascript
• https://www.w3schools.com/jsref/met_win_scrollby.asp
• https://www.youtube.com/watch?v=2z4E9M8B4-g&ab_channel=TommyTessandori
• http://www.insiderattack.net/2014/04/configuring-secure-iis-response-headers.html
• https://www.ryadel.com/en/iis-web-config-secure-http-response-headers-pass-securityheaders-io-scan/
• https://stackoverflow.com/questions/16385541/content-security-policy-invalid-command
• https://www.keycdn.com/blog/http-security-headers/
• https://stackoverflow.com/questions/39502968/apache-difference-between-header-always-set-and-header-set
• https://scotthelme.co.uk/a-new-security-header-referrer-policy/
• https://blog.qualys.com/securitylabs/2016/01/07/open-redirection-a-simple-vulnerability-threatens-your-web-applications
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-3175
• https://blog.appcanary.com/2017/http-security-headers.html#x-content-type-options
• https://www.cyberciti.biz/faq/nginx-send-custom-http-headers/
• https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options
• https://geekflare.com/tomcat-http-security-header/
• https://docs.spring.io/spring-security/site/docs/current/reference/html/headers.html
• https://spring.io/guides/gs/securing-web/
• https://spring.io/blog/2013/08/23/spring-security-3-2-0-rc1-highlights-security-headers
• https://www.dailyrazor.com/blog/glassfish-vs-tomcat/
• http://www.edu4java.com/en/servlet/servlet1.html
• https://stackoverflow.com/questions/24182367/how-to-add-x-content-type-options-to-tomcat-configuration
• https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/script-src#Unsafe_inline_script
• https://stackoverflow.com/questions/28647136/how-to-disable-x-frame-options-response-header-in-spring-security