{"id":141439,"date":"2025-08-24T11:11:56","date_gmt":"2025-08-24T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","title":{"rendered":"Atak na dodatki przegl\u0105darkowe z mened\u017cerami hase\u0142, wykorzystuj\u0105cy clickjacking","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Na konferencji DEF CON 33 zaprezentowano metod\u0119 ataku na dodatki przegl\u0105darkowe, kt\u00f3re wprowadzaj\u0105 swoje elementy interfejsu na odwiedzan\u0105 stron\u0119. Zastosowanie ataku do dodatk\u00f3w z mened\u017cerami hase\u0142 mo\u017ce prowadzi\u0107 do ujawnienia przechowywanych w mened\u017cerach hase\u0142 informacji, takich jak dane uwierzytelniaj\u0105ce, dane kart kredytowych, dane osobowe oraz jednorazowe has\u0142a do uwierzytelniania dwuetapowego. Problem dotyczy wszystkich przetestowanych mened\u017cer\u00f3w hase\u0142, w tym 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass i Keeper. <\/p>\n
Metoda ataku opiera si\u0119 na tym, \u017ce dodatki przegl\u0105darkowe wprowadzaj\u0105 dialog z pro\u015bb\u0105 o autouzupe\u0142nienie has\u0142a bezpo\u015brednio na wy\u015bwietlan\u0105 stron\u0119, integruj\u0105c swoje elementy w DOM (Document Object Model) tej strony. Je\u015bli atakuj\u0105cy ma mo\u017cliwo\u015b\u0107 wykonania swojego kodu JavaScript na stronie, na przyk\u0142ad wykorzystuj\u0105c luk\u0119 XSS na stronie, mo\u017ce manipulowa\u0107 wszystkimi elementami w DOM, w tym dodatkami przegl\u0105darkowymi. <\/p>\n
Mi\u0119dzy innymi istnieje mo\u017cliwo\u015b\u0107 uczynienia dialogu potwierdzenia przezroczystym i przestrzennie zintegrowania przycisku w tym dialogu z przyciskiem podszywaj\u0105cego si\u0119 dialogu stworzonego przez atakuj\u0105cego, zach\u0119caj\u0105cym u\u017cytkownika do klikni\u0119cia. Jako takie podszywaj\u0105ce si\u0119 dialogi mog\u0105 by\u0107 u\u017cywane fa\u0142szywe pro\u015bby o uprawnienia do Cookies, banery reklamowe lub formularze z CAPTCHA. Umieszczaj\u0105c podszywaj\u0105cy si\u0119 dialog pod przezroczystym dialogiem mened\u017cera hase\u0142 i synchronizuj\u0105c lokalizacj\u0119 przycisk\u00f3w na ekranie, mo\u017cna osi\u0105gn\u0105\u0107, \u017ce klikni\u0119cie u\u017cytkownika trafi na przycisk potwierdzenia wype\u0142nienia danych uwierzytelniaj\u0105cych w dialogu mened\u017cera hase\u0142, mimo \u017ce u\u017cytkownik b\u0119dzie s\u0105dzi\u0142, \u017ce klikn\u0105\u0142 na przyk\u0142ad przycisk zamkni\u0119cia okna z reklam\u0105.
<\/center> <\/p>\n
Atak polega na nast\u0119puj\u0105cych krokach: <\/p>\n
\n
Tworzenie nachalnego elementu na stronie, zach\u0119caj\u0105cego do klikni\u0119cia.\n
Dodanie do strony formularza webowego do logowania lub wype\u0142nienia danych osobowych.\n
Ustawienie przezroczysto\u015bci dla formularza webowego («opacity: 0.001» w CSS).\n
Wykorzystanie metody focus() do ustawienia fokusu na polu w formularzu, co prowadzi do aktywacji dialogu autouzupe\u0142nienia mened\u017cera hase\u0142.\n
Wyszukiwanie pojawiaj\u0105cego si\u0119 dialogu mened\u017cera hase\u0142 w DOM i ustawienie dla niego przezroczysto\u015bci.\n
Oczekiwanie na klikni\u0119cie u\u017cytkownika na widocznym, natarczywym elemencie na stronie, kt\u00f3re przy odpowiednim zestawieniu widocznych i niewidocznych element\u00f3w doprowadzi do naci\u015bni\u0119cia przycisku w przezroczystym oknie dialogowym oraz wype\u0142nienia p\u00f3l przez mened\u017cera hase\u0142.\n
Ekstrakcja danych z wype\u0142nionego formularza webowego i wys\u0142anie ich na serwer atakuj\u0105cego. <\/ul>\n
Poniewa\u017c automatyczne uzupe\u0142nianie parametr\u00f3w uwierzytelnienia w mened\u017cerze hase\u0142 aktywowane jest tylko dla stron, na kt\u00f3rych te parametry zosta\u0142y zapisane, do przeprowadzenia ataku nale\u017cy mie\u0107 mo\u017cliwo\u015b\u0107 uruchomienia swojego kodu JavaScript na atakowanej stronie lub poddomenie. W ten spos\u00f3b do przeprowadzenia ataku konieczne jest albo uzyskanie poddomeny w tej samej domenie, co atakowana strona, albo znalezienie luki XSS na stronie, pozwalaj\u0105cej na wstrzykni\u0119cie w\u0142asnego kodu do wy\u015bwietlanej u\u017cytkownikowi tre\u015bci. <\/p>\n
Zauwa\u017cono, \u017ce wielu u\u017cytkownik\u00f3w korzysta z jednego mened\u017cera hase\u0142 zar\u00f3wno do przechowywania danych logowania, jak i do generowania jednorazowych hase\u0142 do uwierzytelniania dwuetapowego, co pozwala na wykorzystanie omawianej metody ataku podczas automatycznego uzupe\u0142niania jednorazowych hase\u0142. Jako przyk\u0142ad pokazano atak na stron\u0119 issuetracker.google.com, kt\u00f3ra zawiera luk\u0119 XSS. Aby uzyska\u0107 dane logowania oraz kod do uwierzytelniania dwuetapowego, wystarczy wys\u0142a\u0107 u\u017cytkownikowi link wykorzystuj\u0105cy luk\u0119 XSS i doprowadzi\u0107 do trzech klikni\u0119\u0107 poprzez podstawienie fikcyjnych, natarczywych \u017c\u0105da\u0144 (zezwolenie na przetwarzanie ciasteczek, zezwolenie na personalizacj\u0119 oraz zgoda na polityk\u0119 prywatno\u015bci).
![\"Atak](\"\/wp-content\/uploads\/2025\/08\/9df2f88789928b98278bb49ac8522c38.png\")
<\/center> <\/p>\n