{"id":141439,"date":"2025-08-24T11:11:56","date_gmt":"2025-08-24T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/news\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","title":{"rendered":"\u00datok na doplnky prehliada\u010da s mana\u017e\u00e9rmi hesiel, vyu\u017e\u00edvaj\u00faci clickjacking.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Na konferencii DEF CON 33 bol predstaven\u00fd \u00fatok na prehliada\u010dov\u00e9 roz\u0161\u00edrenia, ktor\u00e9 vkladaj\u00fa svoje rozhrania do zobrazovanej str\u00e1nky. Pou\u017eitie \u00fatoku na roz\u0161\u00edrenia s mana\u017e\u00e9rmi hesiel m\u00f4\u017ee vies\u0165 k \u00faniku inform\u00e1ci\u00ed ulo\u017een\u00fdch v t\u00fdchto mana\u017e\u00e9roch, ako s\u00fa autentifika\u010dn\u00e9 \u00fadaje, kreditn\u00e9 karty, osobn\u00e9 \u00fadaje a jednorazov\u00e9 hesl\u00e1 pre dvojfaktorov\u00fa autentifik\u00e1ciu. Probl\u00e9m sa t\u00fdka v\u0161etk\u00fdch testovan\u00fdch mana\u017e\u00e9rov hesiel, vr\u00e1tane 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass a Keeper. <\/p>\n
Met\u00f3da \u00fatoku je zalo\u017een\u00e1 na tom, \u017ee prehliada\u010dov\u00e9 roz\u0161\u00edrenia vkladaj\u00fa dial\u00f3g s po\u017eiadavkou na automatick\u00e9 doplnenie hesla priamo na zobrazovan\u00fa str\u00e1nku, integruj\u00fac svoje prvky do DOM (Document Object Model) danej str\u00e1nky. Ak \u00fato\u010dn\u00edk dok\u00e1\u017ee spusti\u0165 svoj JavaScript k\u00f3d na str\u00e1nke, napr\u00edklad zneu\u017eit\u00edm XSS zranite\u013enosti na webovej str\u00e1nke, m\u00f4\u017ee manipulova\u0165 so v\u0161etk\u00fdmi prvkami v DOM, vr\u00e1tane vlo\u017een\u00fdch prehliada\u010dov\u00fdch roz\u0161\u00edren\u00ed. <\/p>\n
Medzi in\u00fdm je mo\u017enos\u0165 spravi\u0165 dial\u00f3g potvrdenia transparentn\u00fdm a priestorovo skombinova\u0165 tla\u010didlo v tomto dial\u00f3gu s tla\u010didlom falo\u0161n\u00e9ho dial\u00f3gu, vytvoren\u00e9ho \u00fato\u010dn\u00edkom a motivuj\u00faceho pou\u017e\u00edvate\u013ea k kliknutiu. Tak\u00e9to falo\u0161n\u00e9 dial\u00f3gy m\u00f4\u017eu by\u0165 fikt\u00edvne po\u017eiadavky na opr\u00e1vnenia k pr\u00e1ci s cookie, reklamn\u00e9 bannery alebo formul\u00e1re s CAPTCHA. Um\u00edst\u011bn\u00edm falo\u0161n\u00e9ho dial\u00f3gu pod transparentn\u00fdm dial\u00f3gom mana\u017e\u00e9ra hesiel a zladen\u00edm umiestnenia tla\u010didiel na obrazovke, m\u00f4\u017ee d\u00f4js\u0165 k tomu, \u017ee kliknutie pou\u017e\u00edvate\u013ea bude smerova\u0165 na tla\u010didlo potvrdenia vyplnenia autentifika\u010dn\u00fdch \u00fadajov v dial\u00f3gu mana\u017e\u00e9ra hesiel, hoci si pou\u017e\u00edvate\u013e bude myslie\u0165, \u017ee klikol napr\u00edklad na tla\u010didlo zatvorenia okna s reklamou.
<\/center> <\/p>\n
\u00datok sa zni\u017euje na nasleduj\u00face kroky: <\/p>\n
\n
Vytvorenie ru\u0161iv\u00e9ho prvku na str\u00e1nke, ktor\u00fd povzbudzuje k kliknutiu.\n
Pridanie webovej formy pre prihl\u00e1senie alebo vyplnenie osobn\u00fdch \u00fadajov na str\u00e1nku.\n
Nastavenie priesvitnosti pre web formul\u00e1r («opacity: 0.001» v CSS).\n
Pou\u017eitie met\u00f3dy focus() na nastavenie vstupn\u00e9ho zamerania na pole vo forme, \u010do vedie k aktiv\u00e1cii dial\u00f3gu na automatick\u00e9 doplnenie mana\u017e\u00e9ra hesiel.\n
Vyh\u013eadanie objaven\u00e9ho dial\u00f3gu mana\u017e\u00e9ra hesiel v DOM a nastavenie jeho transparentnosti.\n
\u010cakanie na kliknutie pou\u017e\u00edvate\u013ea na vidite\u013enom vyskakovacom prvku na str\u00e1nke, ktor\u00fd pri spr\u00e1vnom zladen\u00ed vidite\u013en\u00fdch a nevidite\u013en\u00fdch prvkov povedie k stla\u010deniu tla\u010didla v prieh\u013eadnom dial\u00f3gu a vyplneniu pol\u00ed mana\u017e\u00e9rom hesiel.\n
Extrahovanie \u00fadajov z vyplnenej webovej formy a ich odoslanie na server \u00fato\u010dn\u00edka. <\/ul>\n
Ke\u010f\u017ee automatick\u00e9 vypl\u0148ovanie autentifika\u010dn\u00fdch parametr\u016f v mana\u017e\u00e9roch hesiel sa aktivuje iba pre webov\u00e9 str\u00e1nky, na ktor\u00fdch boli tieto parametre ulo\u017een\u00e9, na uskuto\u010dnenie \u00fatoku je potrebn\u00e9 ma\u0165 mo\u017enos\u0165 spusti\u0165 svoj JavaScript k\u00f3d na napadnutej str\u00e1nke alebo v jej subdom\u00e9ne. Tak\u017ee na \u00fatok je potrebn\u00e9 bu\u010f z\u00edska\u0165 subdom\u00e9nu v tej istej dom\u00e9ne, ako je napadnut\u00e1 str\u00e1nka, alebo n\u00e1js\u0165 XSS zranite\u013enos\u0165 na str\u00e1nke, ktor\u00e1 umo\u017e\u0148uje vlo\u017eenie vlastn\u00e9ho k\u00f3du do zobrazovan\u00e9ho obsahu pou\u017e\u00edvate\u013eovi. <\/p>\n
V\u0161imlo sa, \u017ee mnoh\u00ed pou\u017e\u00edvatelia pou\u017e\u00edvaj\u00fa jeden mana\u017e\u00e9r hesiel na ukladanie prihlasovac\u00edch \u00fadajov a generovanie jednorazov\u00fdch hesiel pre dvojfaktorov\u00fa autentifik\u00e1ciu, \u010do umo\u017e\u0148uje vyu\u017ei\u0165 dan\u00fa met\u00f3du \u00fatoku pri automatickom vypl\u0148ovan\u00ed jednorazov\u00fdch hesiel. Ako pr\u00edklad sa demon\u0161truje \u00fatok na webov\u00fa str\u00e1nku issuetracker.google.com, ktor\u00e1 obsahuje XSS zranite\u013enos\u0165. Na z\u00edskanie prihlasovac\u00edch \u00fadajov a k\u00f3du pre dvojfaktorov\u00fa autentifik\u00e1ciu sta\u010d\u00ed posla\u0165 pou\u017e\u00edvate\u013eovi odkaz, ktor\u00fd zneu\u017e\u00edva XSS zranite\u013enos\u0165, a dosiahnu\u0165 tri kliknutia prostredn\u00edctvom substit\u00facie fikt\u00edvnych vyskakovac\u00edch po\u017eiadaviek (povolenie spracovania cookies, povolenie personaliz\u00e1cie a s\u00fahlas s politikou ochrany osobn\u00fdch \u00fadajov).
![\"\u00datok](\"\/wp-content\/uploads\/2025\/08\/9df2f88789928b98278bb49ac8522c38.png\")
<\/center> <\/p>\n