X-Frame-Options Başlığı


Uygulama 1 [Clickjacking Uygulaması]

Uygulama 2 [Clickjacking Uygulaması (Facebook Like & Share Butonları)]

Uygulama 3 [X-Frame-Options ile Önlem Uygulaması]

Uygulama 4 [X-Frame-Options ile Önlem Uygulaması 2]

Uygulama 5 [Clickjacking Reel Bir Uygulama]

Ekstra

a. Frame Nedir?

Frame tek bir html sayfasında ayrı html sayfaları dahil etmeye yarayan bir html etiketidir. iframe ise tek bir html sayfasında ayrı ayrı web sitelerinin html sayfalarını dahil etmeye yarayan bir html etikedir. iFrame’ler ile örneğin sosyal medya paylaşım butonları, google maps, video oynatıcılar, ses oynatıcılar, ve üçüncü taraf reklam hizmetleri gibi ayrı ayrı web site html sayfaları web uygulamada tek bir html sayfası içerisinde dahil edilebilirler.

b. Clickjacking Nedir?

Clickjacking saldırısı ziyaretçilerin farkına varmadan ummadıkları bir web sayfa öğesine tıklamaları ile yaşanan çeşitli zararlara denir. Birçok clickjacking saldırı türü vardır. Bunlar arasından çoğu metot olarak html iframe’lerle alakalı suistimal (exploitation) yolunu takip ederler ve bu saldırılara karşı önlemler de sayfa frame’leme üzerine yoğunlaşır.

Clickjacking saldırı türlerinden giriş anlamında birini ifade edecek olursak örneğin bir saldırganın tıklanabilir bir nesnenin (örn; butonun veya linkin) üzerinde transparan (şeffaf / görünmez) bir iframe koyması bir clickjacking saldırısı türüdür. Bu clickjacking saldırısında sadece tıklanabilir nesne sayfada görünür, fakat bu tıklanabilir nesnenin üzerinde şeffaf / görünmez bir iframe vardır. Dolayısıyla bir kullanıcı tıklanabilir nesneye tıkladığında tıklanabilir nesne yerine üzerindeki şeffaf / görünmez iframe’e tıklamış olur. Böylece kullanıcı istemediği bir eylemi gerçekleştirebilir. Bunun gibi diğer clickjacking saldırı türleri c. Clickjacking Saldırı Türleri başlığında bahsedilecektir.

Giriş olarak ifade edilen clickjacking saldırı türüne dair bir senaryo örneği vermek gerekirse örneğin bir ziyaretçi zararlı bir web sitesinde bir formu kapamak için butona tıklamak ister. Ziyaretçi butona tıkladığında butona tıkladığını düşünür, fakat bunun yerine üzerindeki şeffaf iframe’e tıklar ve bir truva atı indirir, veya banka hesabına para transfer eder, veya bilgisayarındaki yerleşik mikrofonunu ve webcam’ini açar. Bu örnek özelinde zararlı web sitesi bilinen bir legal web sitesinin sahte kopyası olabilir. Bu clickjacking saldırısı türünü yapabilmek için saldırgan zararlı web sitesini internette email yoluyla veya benzer farklı yollarla paylaşabilir. Daha sonra kullanıcılar sitedeki kapat butonuna tıkladıklarında iframe’e tıklamış olurlar ve böylece saldırganın istediği eylemi gerçekleştirmiş olurlar.

Aynı saldırı türüne dair bir başka senaryo örneği vermek gerekirse legal bir web site içerikleri zararlı bir web sitesinde iframe’lenerek kullanılabilir. Örneğin Facebook like ve share butonları zararlı bir web sitesinde tıklanabilir bir nesnenin üzerine şeffaf olarak konulabilir. Böylece kullanıcılar zararlı web sitesinde tıklanabilir nesneye tıkladıklarında aslında zararlı web sitesindeki içerik için Like veya Share butonlarından birine basmış olurlar. Kullanıcıların bu beğenme veya paylaşma işlemi kullanıcı facebook profillerine yansır, bu şekilde şüpheli içerik yayılabilir. Zararlı web site sahibi like veya share kasarak zararlı web sitesine daha fazla kullanıcı ve potansiyel kurban çekebilir. Bu clickjacking saldırı senaryosunda önceki senaryoya nazaran doğrudan legal bir web sitenin suistimal edilmesi söz konusudur.

c. Clickjacking Saldırı Türleri

Clickjacking tek tip bir saldırı değildir. Geniş bir çeşitlilikte atak vektörüne ve tekniğine sahip bir saldırıdır. Genellikle UI redress saldırısı (kullanıcı arayüzü yerine koyma saldırısı) olarak adlandırılır. Saldırılar üst üste binen içeriğin kullanımına bağlı olarak genel itibariyle iki kategoriye ayrılabilir. Overlay-based (kaplama bazlı) saldırılar, ki bu en popüleridir, bir de şeffaf / görünmez iframe’lerde sayfaları gömme, ki bu en yaygın kullanılan teknik yaklaşımdır. Overlay-based (kaplama bazlı) clickjacking’de birkaç adet ana kategori mevcuttur.

• Tamamen transparan kaplama: Bu metotta transparan legal bir web sayfası özenle hazırlanmış zararlı bir web sitesinde nesnelerin üzerine yerleştirilir. Legal web sayfası görünmez bir iframe içerisinde zararlı web sitesinde yüklenir ve z-index’i yüksek değerde tutularak görünen zararlı web site sayfasının üzerinde konumlandırılır.
  
  
• Kırpma: Bu saldırı türünde saldırgan görünen zararlı web site sayfası üzerindeki transparan frame sayfasının sadece belirli parçalarını kaplama olarak kullanır. Saldırının amacına bağlı olarak bu örneğin butonların önüne görünmez linkler konulması olabilir. Böylece umulandan farklı bir eylem gerçekleştirilir.
  
  
• Gizli kaplama: Bu saldırıda saldırgan 1 px x 1 px ebatlarında zararlı bir içerik içeren iframe oluşturur ve fare imlecinin katmansal olarak hemen altına yerleştirir. iframe fare imlecini takip eder. Herhangi bir tıklamada bu tık zararlı web sayfasında işleyecektir.
  
  
• Tıklama Event’inin Düşmesi: Zararlı bir web sitesinde sayfanın önüne zararlı web sayfasını tamamen kapatacak şekilde legal bir web sayfası iframe’i koyulur. Saldırgan, fare imleci css event özelliğini iframe’de gösterilen (üstte gösterilen) sayfa için none yapar.
  
  CSS:
  
  

  ... { pointer-events: none; }

  
  
  Böylece tıklamalar üstte görünen sayfada çalışmaz ve tıklama geldiğinde bu tıklama legal web sayfa kaplamasının altındaki zararlı web sayfasına düşer. Zararlı web sayfasındaki nesneler için herhangi bir pointer-events tanımlamaları olmayacağından varsayılan olarak tıklamalar zararlı web sayfası içeriğinde çalışır olacaktır ve saldırgan ön yüzdeki görünen legal web sayfasında tıklanacak yerlerin konumsal olarak altına zararlı unsurlar koyarak tıklamaların arkadaki zararlı web sayfa içeriğinde işlemesi ile zararlı faaliyetler yürütebilir.
  
  
• ...

Bu şekilde liste uzayıp gider.

d. X-Frame-Options Nasıl Korur?

Legal web sitelerini iframe’leyerek kullanan saldırganlara karşı legal web sitelerini ve kullanıcılarını clickjacking saldırılarından http x-frame-options yanıt başlığı ile koruyabiliriz. Bu güvenlik başlığı genel manasıyla şu şekilde korur: Web tarayıcı ekranlarına yüklenen web sayfalarında kullanılan iframe’ler içeriklerini almak için ilaveten bir web sitesine talep yaparlar. Gelen yanıt paketinde X-Frame-Options başlığı yer alırsa web tarayıcıların iframe’i ekrana yükleyip yüklememesi gelen paketteki X-Frame-Options ayarına göre yapılır. iframe’lerin yaptığı taleplere yanıt olarak gelen paketlerde X-Frame-Options yanıt başlığı istemci tarafta web tarayıcılara direktif verir ve iframe’in içeriğinin web tarayıcı ekranına yüklenip yüklenmeyeceğini belirtir. Aldığı üç farklı konfigurasyonla bunu yapar: DENY, SAMEORIGIN ve ALLOW-FROM. X-Frame-Options ile bu konfigurasyonlardan birini kullanan legal bir web uygulama içeriklerinin iframe’lenerek çeşitli yerlerde kullanılması durumlarında içeriklerinin o yerlerde görüntülenmesi sırası geldiğinde web tarayıcı tarafından görüntülenmemesi gerektiğini veya sadece belirli yerlerde görüntülebileceğini kısıt olarak koyabilir. Bu sayede legal web uygulama sahipleri, içeriklerinin keyfi olarak herhangi bir yerde iframe’lenmesini önler ve uygulamalarının clickjacking saldırılarına karşı kullanımını ve suistimalini engeller.

• DENY
  
  Bir web uygulama DENY kullandığında hiçbir adreste (kendi adresi dahil) içeriklerinin iframe olarak sunulmasına izin vermez.
  
  

  x-frame-options: DENY

  
  Eğer teşebbüs edilirse içeriğini iframe’e yanıt olarak verdiği zaman X-Frame-Options başlığı da geleceğinden web tarayıcı gelen içeriği yüklemez. Böylece olası üçüncü taraf web siteleri üzerinden veya kendi olası hack’lenmiş web sitesi üzerinden gelebilecek clickjacking saldırılarına karşı web tarayıcılara sayfa yükletmeme ile koruma sağlar.
  
  DENY kullanan web sitelere
  
  Facebook ve
  Github
  
  örnek olarak verilebilir.
  
  
  
  
  
  
• SAMEORIGIN
  
  Bir web uygulama SAMEORIGIN kullandığında sadece kendi adresinde içeriklerinin iframe olarak sunulmasına izin verir. Diğer hiçbir adres altında içeriklerinin iframe olarak sunulmasına izin vermez.
  
  

  x-frame-options: SAMEORIGIN

  
  
  Eğer üçüncü taraf web adreslerde teşebbüs edilirse içeriğini iframe’e yanıt olarak verdiği zaman X-Frame-Options başlığı da geleceğinden web tarayıcı gelen içeriği yüklemez. Böylece olası üçüncü taraf web siteleri üzerinden gelebilecek clickjacking saldırılarına karşı web tarayıcılara sayfalarını yükletmeme ile koruma sağlar.
  
  
  
  
  
  
• ALLOW-FROM
  
  Bir web uygulama ALLOW-FROM kullandığında belirttiği üçüncü taraf web adresinde içeriklerinin iframe olarak kullanılmasına izin verir. Diğer hiçbir üçüncü taraf adreste ise içeriklerinin iframe olarak sunulmasına izin vermez.
  
  

  x-frame-options: ALLOW-FROM https://domain.com/

  
  Eğer belirtilenin dışındaki üçüncü taraf web adreslerde teşebbüs edilirse içeriğini iframe’e yanıt olarak verdiği zaman X-Frame-Options başlığı da geleceğinden web tarayıcı diğer tanımlanmamış üçüncü taraf web adreslerde gelen içeriği yüklemez.

X-Frame-Options DENY, SAMEORIGIN ve ALLOW-FROM değerlerini alır. Bunlar arasından DENY en sağlam konfigurasyondur. SAMEORIGIN ile halen clickjacking saldırısı yapılabilir. Çünkü zafiyetli web uygulamaya sızılabilir ve zafiyetli web uygulamada bir içerik iframe olarak zafiyetli uygulamanın bir başka yerine yansıtılabilir. Örneğin yansıtıldığı yerde iframe opak olacağı için görmeyen kullanıcılar arkasındaki görünen nesneye tıklamak istediklerinde iframe’e tıklayabilirler ve web uygulamada farklı bir eylem gerçekleştirebilirler. SAMEORIGIN bu noktada fayda etmeyecektir ve clickjacking’e bu şekilde kullanıcılar maruz kalabilecektir. Dolayısıyla en garanti çözüm DENY’dir. Fakat eğer web uygulamanın bazı içerikleri iframe olarak yine web uygulamanın farklı yerlerinde kullanılıyorsa en düşük mertebe olarak SAMEORIGIN kullanılabilir. Bu optimal değer ile hem web uygulama çalışırlığı sürdürülmüş olur hem de belli kademe güvenlik sağlanmış olur. Eğer üçüncü taraf bir bilinen web sunucuda web uygulama içeriği iframe olarak kullanılacaksa ALLOW-FROM ile sadece o üçüncü taraf adreslere izin verilebilir ve böylece web uygulama içeriği belirtilen üçüncü taraf web adreslerde iframe olarak kullanılabilir. Yine ALLOW-FROM optimal değeri ile hem web uygulama ve bileşenleri çalışırlığı sürdürülmüş olur hem de belli kademe güvenlik sağlanmış olur.


Sonuç olarak X-Frame-Options aldığı üç ayar ile clickjacking’e karşı belli kademelerde güvenlik sağlar.

e. X-Frame-Options Nasıl Aktif Edilir?

Nginx web sunucularda x-frame-options’ı ekleme:

// Sunucu konfigurasyon dosyasına aşağıdaki eklenir.
add_header x-frame-options "DENY" always;

Apache web sunucularda x-frame-options’ı ekleme:

// Sunucu httpd.conf dosyasına aşağıdaki eklenir.
header always set x-frame-options "DENY"

IIS web sunucularda x-frame-options’ı ekleme:

// Sunucu web.config dosyasına aşağıdaki eklenir.
<system.webServer>
  ...
  <httpProtocol>
    <customHeaders>
            <add name="X-Frame-Options" value="DENY" />
    </customHeaders>
  </httpProtocol>
  ...
</system.webServer>

f. Clickjacking Sonuç

Clickjacking saldırılarında zararlı bir web sitede saldırgana ait zararlı kişisel iframe’ler ile faaliyetler yürütülmesi yolu vardır, zararlı bir web sitede legal bir web sitenin iframe’lenerek suistimal edilmesi yolu vardır, legal bir web sitenin hack’lenmesi sonucu legal web siteye clickjacking yapan iframe’ler yerleştirilmesiyle legal web sitesinin suistimal edilmesi yolu vardır. Legal web sitelerini clickjacking’e karşı koruyan X-Frame-Options yanıt başlığı önlemi legal web sitelerin iframe’ler yoluyla yabancı adreslerde veya - şayet sızılma yaşanmışsa - iframe’ler yoluyla kendi web adresinde suistimal edilmesini (exploit edilmesini) önler, ve legal web site sahiplerini ve legal web site kullanıcılarını clickjacking saldırılarına karşı korur.


Legal web site sahipleri web uygulamalarının clickjacking adı verilen saldırılarla suistimal edilmesini istemiyorlarsa web uygulamalarını konfigure ederek X-Frame-Options yanıt başlığını eklemeleri ve yapılandırmaları gerekmektedir. Bu sayede web uygulamaları clickjacking saldırılarında kullanılamaz, saldırganlar legal web uygulamada kar elde edemezler, legal web uygulamayı zarara uğratamazlar ve legal web uygulamadaki diğer kullanıcıları zarara uğratamazlar.

Aşağıda çeşitli clickjacking saldırıları ile saldırganların yapabileceklerinden örnekler listelenmiştir:

- Zararlı indirmeleri ve çalıştırmaları ile uzaktaki saldırganların kullanıcı bilgisayarlarında kontrolü ele alması,
- Youtube videolarına izlenme sayısı kasma (para kazancına doğru gider)
- Şüpheli Facebook Sayfalarına like atma
- Facebook uygulamalarına izinler verme
- Google Adsense reklamlarına tıklama (tıklama başına para kazancına doğru gider)
...

g. EK: Missing X-Frame-Options Zafiyeti ve Insecure External Frame Usage Zafiyeti Arasındaki Fark

Missing X-Frame-Options zafiyeti web uygulamaların içeriklerinin keyfi olarak her herhangi yerlerde iframe’lenebilir olduğunu ve bu nedenle tık çalma saldırılarında kullanılabileceğini ifade eder.

Insecure External Frame Usage zafiyeti ise web uygulamaların kendi içinde kullandıkları iframe’lerin içeriğinden gelebilecek zararlı faaliyetlere karşı önlem alınmadığını ifade eder.

X-Frame-Options eksikliği zafiyetinde

- Web uygulama son kullanıcıları web uygulama üzerinde istemedikleri eylemleri gerçekleştirebilirler ki bu eylemler hem kullanıcılara hem de web uygulamaya zarar verebilir. Bu zarar web uygulamanın yeteneklerine ve yeteneklerindeki çeşitliliğe göre değişkenlik gösterir.

Güvensiz harici frame kullanımı zafiyetinde

- Web uygulama son kullanıcıları web uygulamadaki iframe’in içerisinde yüklenen siteye kullanıcı adı ve parola girmesi için oltalama saldırısı ile kandırılabilir,
- Web uygulama (yani iframe’in parent sayfası) bir oltalama web sayfasına yönlendirebilir,
- Web uygulama içinde iframe’de güvenilir olmayan kodlar çalıştırılabilir,
- Web uygulamadan (parent sayfadan) geliyormuş gibi popup ekrana getirilebilir.

Sonuç olarak bir web adresin kendi içeriklerinin iframe’lenerek herhangi yerlerde kullanılabilirliğine kısıt koymaması x-frame-options eksikliğini ifade eder. Bir web adresin kendi içinde kullandığı iframe’lerin getirdiği içeriklerin çalışma izinlerine kısıt koymaması ise güvensiz harici frame kullanımını ifade eder. Birinde web uygulamanın iframe’lenmesi serbestliğine kısıt koymama vardır, diğerinde web uygulamanın kendi içinde kullandığı iframe’lerin çalışma izinlerine kısıt koymama vardır.

/var/www/Clickjacking Uygulaması/Clickjacking Şeffaflık Örneği/

<style>
	iframe { /* iframe from the victim site */
		width: 400px;
		height: 100px;
		position: absolute;
		top:0; left:-20px;
		opacity: 0.5; 		/* gerçekte opacity:0 */
		z-index: 1;
	}
</style>

<div>If you like this page, press share button:</div>

<button>Paylaş</button>

<iframe src="clickme.html"></iframe>

<input style="margin:10px;padding:10px" 
       type="button" 
       onclick="window.open('http://www.includekarabuk.com/hesapCalma/facebook HesapCalma/index.php','_blank')" 
       value="Tikla Tikla Tikla">

<style>
	iframe { /* iframe from the victim site */
		width: 400px;
		height: 100px;
		position: absolute;
		top:0; left:-20px;
		opacity: 0; 		/* gerçekte opacity:0 */
		z-index: 1;
	}
</style>

<div>If you like this page, press share button:</div>

<button>Paylaş</button>

<iframe src="clickme.html"></iframe>

<input  style="margin:10px;padding:10px" 
        type="button" 
        onclick="window.open('http://www.includekarabuk.com/hesapCalma/facebookHesapCalma/index.php','_blank')" 
        value="Tikla Tikla Tikla">

Not: window.open() bir web sitesine yönlendirme yapar (yeni sekmede).

<div class="fb-like" 
     data-href="http://www.includekarabuk.com/kbudersnotlari.php" 
     data-layout="standard" 
     data-action="like" 
     data-show-faces="true" 
     data-share="true"></div>

<div class="fb-like" 
     style="opacity:0.5 !important;" 
     data-href="http://www.includekarabuk.com/kbudersnotlari.php" 
     data-layout="standard" 
     data-action="like" 
     data-show-faces="true" 
     data-share="true"></div>

<div class="fb-like" 
     style="opacity:0 !important; z-index:1 !important;"  
     data-href="http://www.includekarabuk.com/kbudersnotlari.php" 
     data-layout="standard" 
     data-action="like" 
     data-show-faces="true" 
     data-share="true"></div>

<input type="button" style="position: absolute; width:300; height:25px;" value="Daha Fazla Not">

<div class="fb-like" 
     style="width: 400px; height: 100px; opacity:0 !important; z-index:1 !important;" 
     data-href="http://www.includekarabuk.com/kbudersnotlari.php" 
     data-layout="standard" 
     data-action="like" 
     data-show-faces="true" 
     data-share="true"></div>

Not: Butona ekstradan position:absolute koymak gerekiyormuş.

/var/www/Clickjacking Uygulamasi/deneme.html	// Zararlı Web Uygulama
www.includekarabuk.com	// Zafiyetli Web Uygulama

(*) Not:

Zafiyetli www.includekarabuk.com web uygulamasına sunucu seviyesinde erişim sağlanamadığından (hosting firması bunu temin etmediğinden) x-frame-options başlığı konfigurasyondan konulamayacaktır. Fakat bunun yerine www.includekarabuk.com’dan gelen yanıt paketine burp ile elle X-Frame-Options koyarak sanki web sunucu öyle yapılandırılmış gibi yapabiliriz.

/var/www/Clickjacking Uygulamasi/deneme2.html & deneme3.html

// Zafiyetli // Web // Uygulama

Bilgi:

Eğer en kötü senaryo düşünülecek olursa saldırganlar legal localhost web uygulamaya sızdıklarında uygulama içerisine uygulama içeriklerini clickjacking yapacak şekilde şeffaf iframe’ler şeklinde koyarlarsa clickjacking’e karşı X-Frame-Options SAMEORIGIN koruyamayacaktır. Çünkü SAMEORIGIN legal web uygulamaya kendi adresi altında iframe olarak kendi içeriklerini sunmasına izin vermektedir. Sadece başka yabancı web adresler altında kendi içeriklerinin iframe olarak sunulmasına izin vermemektedir. Bu nedenle DENY kullanılabilir. Fakat bu durumda legal web uygulama kendi içeriklerini iframe olarak kendi web sayfalarında sunamayacaktır. Sonuç olarak bir web uygulaması kendi içeriklerini kendi web adresi altında iframe ile kullanmaktaysa optimum değer olarak SAMEORIGIN kullanılmalıdır. Bu sayede hem uygulama çalışırlığı sürdürülmüş olacaktır hem de güvenlik bir kademe sağlanmış olacaktır.

Ubuntu 18.04 LTS Terminal:

sudo nano /etc/apache2/apache2.conf

Çıktı:

...
...
# En alta aşağıdaki eklenir
Header always set X-Frame-Options "DENY"

Ardından servisi yeniden başlatalım.

sudo service apache2 restart

Çıktı:

[deneme3.html]

Ubuntu 18.04 LTS Terminal:

sudo nano /etc/apache2/apache2.conf

Çıktı:

...
... 
# En alta aşağıdaki eklenir
Header always set X-Frame-Options "SAMEORIGIN"

Ardından servisi yeniden başlatalım.

sudo service apache2 restart

Çıktı:

[deneme3.html]

/var/www/Clickjacking Uygulaması/Clickjacking Reel Bir Uygulama/	// Zararlı Web // Uygulama
/var/www/DVWA-master/	// Zafiyetli Web // Uygulama

    opacity: 0.5;			(3)
    position: absolute;		        (4)
    z-index: 1;				(4)

    position: absolute;		        (4)
    z-index: 0;				(4)

iframeElement.onload = function () {

	// iframeElement.contentWindow.scrollTo(265,870);    	// height="38px" width="175px" iken.

	iframeElement.contentWindow.scrollTo(250,800);  (2)    	// height="100px" width="200px" iken.

    opacity: 0.5;
    position: absolute;
    z-index: 1;

    position: absolute;
    z-index: 0;

iframeElement.onload = function () {

	iframeElement.contentWindow.scrollTo(265,870);  (2)     // height="38px" width="175px" iken.

	// iframeElement.contentWindow.scrollTo(250,800);       // height="100px" width="200px" iken.

}

    opacity: 1;				(1)	

    position: absolute;		
    z-index: 1;		
}
...
</style>

    opacity: 0;				(1)	

    position: absolute;		
    z-index: 1;		
}
...
</style>

Ubuntu 18.04 LTS:

sudo su
nano /etc/apache2/apache2.conf

Çıktı:

...

# en alt satıra
Header always set X-Frame-Options "DENY"

Ardından servisi yeniden başlatalım.

service apache2 restart

/var/www/Clickjacking Uygulamasi/Clickjacking için Frame Busting Önlemi İncelemesi ve Atlatılması/

- legalwebuygulama.html
- zararliwebuygulama.html

alert("Top URL: " + top.location + " Current URL: " + window.location);

// Clickjacking Önlemek için Frame Busting Javascript Kodu Önlemi

if (window.location != top.location) { 
	top.location = window.location 
}

Not: Çok çeşitli frame busting koruması javascript kodları vardır. İçlerinden en yaygın kullanılanı ise yukarıdaki gibidir.