{"id":141439,"date":"2025-08-24T11:11:56","date_gmt":"2025-08-24T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","title":{"rendered":"R\u00fcnnak brauserilaienditele, mis kasutavad paroolihaldureid, rakendades clickjacking-tehnikat.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
DEF CON 33 konverentsil esitati r\u00fcnnakumeetod brauserilaienditele, mis lisavad oma kasutajaliidese elemendid vaadatavale lehele. R\u00fcnnaku rakendamine paroolihalduritega v\u00f5ib viia salvestatud teabe, nagu autentimisandmed, krediitkaardi \u00fcksikasjad, isikuandmed ja \u00fchekordsed paroolid kahefaktorilise autentimise jaoks, lekke tekkimisele. Probleem puudutab k\u00f5iki testitud paroolihaldureid, sealhulgas 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass ja Keeper. <\/p>\n
R\u00fcnnakumeetod p\u00f5hineb sel, et brauserilaiendid lisavad parooli automaatse t\u00e4itmise n\u00f5udega dialooge otse n\u00e4idatavale lehele, integreerides oma elemendid selle lehe DOM-i (Document Object Model). Kui r\u00fcndajal on v\u00f5imalus k\u00e4ivitada oma JavaScripti kood lehel, n\u00e4iteks XSS-haavatavuse \u00e4rakasutamise kaudu, siis saab ta manipuleerida k\u00f5igi DOM-i elementidega, sealhulgas brauserilaienditega. <\/p>\n
Lisaks on v\u00f5imalus muuta kinnituse dialoog l\u00e4bipaistvaks ja ruumiliselt sobitada nupud selle dialooge nupu, mille r\u00fcndaja on loonud ja mis kutsub kasutajat klikkima. Sellisteks vale dialoogideks v\u00f5ivad olla vale Cookie'i \u00f5iguste n\u00f5udmised, reklaamb\u00e4nnerid v\u00f5i CAPTCHA vormid. Asetades vale dialooge parooli halduri l\u00e4bipaistva dialooge alla ja sobitades nuppude asukohad ekraanil, on v\u00f5imalik saavutada, et kasutaja klikib parooli halduri dialooge autentimise parameetrite kinnitamiseks, kuigi kasutaja arvab, et klikkis n\u00e4iteks reklaamivenna sulgemisnupule.
<\/center> <\/p>\n
R\u00fcnnak koosneb j\u00e4rgmistest sammudest: <\/p>\n
\n
Lehe peale pealet\u00fckkiva elemendi loomine, et stimuleerida klikkimist.\n
Lehe peale sisenemise v\u00f5i isikuandmete t\u00e4itmise veebivormi lisamine.\n
focus() meetodi kasutamine, et keskenduda sisestusv\u00e4lja vormis, mis k\u00e4ivitab parooli halduri automaatse t\u00e4itmise dialooge.\n
Parooli halduri dialooge otsimine DOM-is ja selle l\u00e4bipaistvuse seadmine.\n
Ootamine, et kasutaja klikib n\u00e4htavale pealet\u00fckkivale elemendile lehek\u00fcljel, mis \u00f5igesti n\u00e4htavate ja n\u00e4htamatute elementide \u00fchendamisel viib nupu vajutamiseni l\u00e4bipaistvas dialoogis ning paroolihalduri v\u00e4ljade t\u00e4itmiseni.\n
Andmete v\u00e4ljapakkumine t\u00e4idetud veebivormist ja nende edastamine r\u00fcndaja serverisse. <\/ul>\n
Kuna paroolihalduri autentimisparameetrite automaatne t\u00e4itmine aktiveeritakse ainult saidile, kus need parameetrid on salvestatud, on r\u00fcnnaku korraldamiseks vajalik k\u00e4ivitada oma JavaScript-kood r\u00fcnnataval saidil v\u00f5i selle alamdomeenil. Seega on r\u00fcnnaku teostamiseks vajalik saada alamdomeen samast domeenist, mis r\u00fcnnatav sait, v\u00f5i leida saidilt XSS-haavatavus, mis v\u00f5imaldab oma koodi kasutaja n\u00e4htavasse sisu sisestada. <\/p>\n
On m\u00e4rgatud, et paljud kasutajad kasutavad \u00fchte paroolihaldurit nii sisselogimisparameetrite salvestamiseks kui ka \u00fchekordsete paroolide genereerimiseks kahefaktorilise autentimise jaoks, mis v\u00f5imaldab arutletud r\u00fcnnakumeetodi kasutamist \u00fchekordsete paroolide automaatse t\u00e4itmise korral. N\u00e4itena demonstreeritakse r\u00fcnnakut veebisaidile issuetracker.google.com, millel on XSS-haavatavus. Sisselogimisparameetrite ja kahefaktorilise autentimise koodi saamiseks piisab kasutajale lingi saatmisest, mis kasutab \u00e4ra XSS-haavatavust, ja kolme kliki saavutamisest valepealet\u00fckkivate p\u00e4ringute kaudu (k\u00fcpsiste t\u00f6\u00f6tlemise lubamine, isikup\u00e4rastamise lubamine ja privaatsuspoliitika n\u00f5usoleku andmine).
![\"R\u00fcnnak](\"\/wp-content\/uploads\/2025\/08\/9df2f88789928b98278bb49ac8522c38.png\")
<\/center> <\/p>\n