{"id":141439,"date":"2025-08-24T11:11:56","date_gmt":"2025-08-24T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","title":{"rendered":"Angreb p\u00e5 browserudvidelser med password managers, der bruger clickjacking.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
P\u00e5 konferencen DEF CON 33 blev der pr\u00e6senteret en angrebsmetode rettet mod browserudvidelser, der inds\u00e6tter deres egne brugergr\u00e6nseelementer p\u00e5 den viste side. Anvendelse af angrebet p\u00e5 udvidelser med adgangskodemanagere kan f\u00f8re til l\u00e6kage af oplysninger gemt i adgangskodemanagerne, s\u00e5som autentificeringsoplysninger, kreditkortoplysninger, personlige data og engangskoder til to-faktor-autentificering. Problemet ber\u00f8rer alle testede adgangskodemanagere, herunder 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass og Keeper. <\/p>\n
Angrebsmetoden er baseret p\u00e5, at browserudvidelser inds\u00e6tter en dialog med en anmodning om autoudfyldning af adgangskode direkte p\u00e5 den viste side, integrerende deres elementer i DOM (Document Object Model) p\u00e5 siden. Hvis angriberen har mulighed for at k\u00f8re sin JavaScript-kode p\u00e5 siden, for eksempel ved at udnytte en XSS-s\u00e5rbarhed p\u00e5 websiden, kan han manipulere med alle elementer i DOM, inklusive de indsatte browserudvidelser. <\/p>\n
Blandt andet er der mulighed for at g\u00f8re bekr\u00e6ftelsesdialogen gennemsigtig og rumligt justere knappen i denne dialog med knappen fra den falske dialog, som angriberen skaber for at tilskynde brugeren til at klikke. S\u00e5danne falske dialoger kan v\u00e6re p\u00e5tr\u00e6ngende anmodninger om cookies, reklamebannere eller formularer med CAPTCHA. Ved at placere den falske dialog under den gennemsigtige dialog fra adgangskodemanageren og justere placeringen af knapperne p\u00e5 sk\u00e6rmen, kan det opn\u00e5s, at brugerens klik g\u00e5r p\u00e5 bekr\u00e6ftelsesknappen for udfyldning af autentificeringsoplysninger i dialogen fra adgangskodemanageren, selvom brugeren tror, han klikker p\u00e5 f.eks. luk-knappen i et reklamevindue.
<\/center> <\/p>\n
Angrebet kan opsummeres i f\u00f8lgende trin: <\/p>\n
\n
Oprettelse af et p\u00e5tr\u00e6ngende element p\u00e5 siden, der tilskynder til klik.\n
Tilf\u00f8jelse af en webformular til login eller udfyldelse af personlige oplysninger p\u00e5 siden.\n
Indstilling af gennemsigtighed for webformularer («opacity: 0.001» i CSS).\n
Brug af focus()-metoden til at s\u00e6tte fokus p\u00e5 feltet i formularen, hvilket aktiverer dialogen om autoudfyldning fra adgangskodemanageren.\n
S\u00f8gning efter den fremkomne dialog fra adgangskodemanageren i DOM og indstilling af gennemsigtighed for den.\n
Vente af klik fra brugeren p\u00e5 et synligt, p\u00e5tr\u00e6ngende element p\u00e5 siden, som ved korrekt kombination af synlige og usynlige elementer vil f\u00f8re til et klik p\u00e5 knappen i den gennemsigtige dialog og udfyldning af felterne af password-manageren.\n
Udtr\u00e6kning af data fra den udfyldte webformular og sending af disse til angriberens server. <\/ul>\n
Da autofuldf\u00f8relse af autentifikationsparametre i password-manageren kun aktiveres for de websteder, hvor disse parametre er gemt, kr\u00e6ver det for at udf\u00f8re et angreb at kunne k\u00f8re sin egen JavaScript-kode p\u00e5 det angrebne websted eller i et subdom\u00e6ne. For at udf\u00f8re angrebet er det s\u00e5ledes n\u00f8dvendigt at f\u00e5 et subdom\u00e6ne p\u00e5 samme dom\u00e6ne som det angrebne websted, eller at finde en XSS-s\u00e5rbarhed p\u00e5 webstedet, der g\u00f8r det muligt at injicere sin kode i det indhold, der vises for brugeren. <\/p>\n
Det bem\u00e6rkes, at mange brugere bruger \u00e9n password-manager til at gemme loginoplysninger samt til at generere engangskoder til to-faktorautentifikation, hvilket g\u00f8r det muligt at anvende den n\u00e6vnte angrebsmetode ved autofuldf\u00f8relse af engangskoder. Et eksempel viser et angreb p\u00e5 webstedet issuetracker.google.com, der indeholder en XSS-s\u00e5rbarhed. For at opn\u00e5 loginoplysningerne og koden til to-faktorautentifikation er det tilstr\u00e6kkeligt at sende brugeren et link, der udnytter XSS-s\u00e5rbarheden, og at f\u00e5 tre klik gennem inds\u00e6ttelse af falske p\u00e5tr\u00e6ngende anmodninger (tilladelse til at behandle cookies, tilladelse til personalisering og samtykke til politikken for beskyttelse af privatlivets fred).
![\"Angreb](\"\/wp-content\/uploads\/2025\/08\/9df2f88789928b98278bb49ac8522c38.png\")
<\/center> <\/p>\n