استغلال Clickjacking لتنفيذ هجوم DOM XSS خبيث

🛡 استغلال ثغرة Clickjacking لتنفيذ هجوم DOM-based XSS 🧑‍💻
🧩 في عالم أمان تطبيقات الويب، استغلال الثغرات بيتم غالبًا عبر دمج أكثر من نوع هجوم مع بعض. من أخطر الأمثلة إن المهاجم يستخدم ثغرة Clickjacking علشان يفعل هجوم DOM-based XSS بدون ما الضحية ياخد باله.
خلّيني أشرح كل جزء بطريقة بسيطة وواضحة علشان تفهم السيناريو كامل 👇

1️⃣ ما هي ثغرة Clickjacking؟ 🎯​

ثغرة Clickjacking هي هجوم يتم فيه خداع المستخدم للنقر على عنصر مختلف تمامًا عن اللي هو شايفه.
وبيحصل ده عن طريق:

✔ وضع عنصر أو طبقة شفافة فوق الصفحة​

✔ المستخدم يفتكر إنه بيضغط على زر ظاهر​

✖ لكنه في الحقيقة بيضغط على زر مخفي تحت الطبقة​

وده ممكن يؤدي:

🚨 لتنفيذ عمليات خطيرة​

🚨 تغيير إعدادات​

🚨 تفعيل روابط أو أكواد خبيثة​

كل ده بدون ما المستخدم يعرف.

---

2️⃣ ما هو DOM-based XSS؟ 🧠💻​

هجوم DOM-based XSS هو نوع خطير من ثغرات XSS، بيحصل لما:

✔ JavaScript في الصفحة يعدّل DOM​

✔ ويدمج مدخلات المستخدم بشكل مباشر​

✔ بدون أي فحص أو تنقية​

المميز هنا إنه:

❌ ما بيرسلش البيانات الخبيثة للسيرفر​

✔ كل الهجوم بيتم داخل المتصفح نفسه​

✔ وبسبب خطأ في كود JavaScript​

---

💥 كيف يتم دمج Clickjacking مع DOM-XSS؟​

هنا الفكرة العبقرية للمهاجم 👇
المهاجم بدل ما يعتمد على المستخدم إنه يفتح لينك فيه Payload…
يقوم يستخدم Clickjacking ليمكّن الضغط على رابط خبيث بدون ما المستخدم يشوفه أصلاً.

خطوات الهجوم:​

1️⃣ إنشاء صفحة خبيثة فيها iframe للصفحة الضعيفة​

2️⃣ وضع طبقة شفافة فوق iframe​

3️⃣ إغراء المستخدم (مثلاً: اضغط هنا تربح جائزة 🎁)​

4️⃣ المستخدم ينقر →​

5️⃣ وفي الحقيقة هو ينقر على الرابط الخبيث داخل iframe​

6️⃣ الرابط يحتوي على Payload يفعّل DOM-based XSS​

---

🔥 مثال عملي توضيحي​

نفترض إن الموقع فيه هذا الكود:

var search = document.location.hash.substring(1);
document.getElementById('result').innerHTML = search;

الكود يأخذ أي شيء بعد الـ # من الرابط ويعرضه مباشرة داخل DOM.

إذا المهاجم استخدم:

https://vulnerable.site#<img src=x onerror=alert(1)>

هينفّذ:
📌 alert(1)
✔ لأن innerHTML يسمح بحقن HTML
✔ بدون أي فلترة أو Sanitization

كيف يدخل Clickjacking هنا؟​

المهاجم ينشئ صفحة فيها:

• iframe للموقع الضعيف
• فوقه طبقة شفافة
• المستخدم يضغط على مكان ظاهر
• لكنه فعليًا يضغط على رابط الـ XSS داخل iframe

🎯 النتيجة: يتم تنفيذ DOM-XSS بدون ما المستخدم يشوف أي رابط أو يحس بحاجة.

---

🛡 كيفية الحماية من الهجوم؟​

1️⃣ منع Clickjacking​

استخدم أحد الهيدر التالية:

• X-Frame-Options: DENY
• X-Frame-Options: SAMEORIGIN
• أو عبر الـ CSP:

Content-Security-Policy: frame-ancestors 'none';

🔒 يمنع تضمين الموقع داخل iframe.

---

2️⃣ فلترة المدخلات Input Validation​

أي مدخلات تُحقن داخل DOM يجب:

✔ ترميزها (HTML Encoding)​

✔ منع استخدام innerHTML إلا عند الضرورة​

✔ الاعتماد على textContent بدلًا من innerHTML​

---

3️⃣ تطبيق Content Security Policy (CSP)​

مثال بسيط:

Content-Security-Policy: script-src 'self';

وده يمنع تنفيذ أي Script خارج الموقع، وبالتالي حتى لو حصل DOM-XSS… مش هيتنفذ.

---

⚠️ الخلاصة​

دمج Clickjacking مع DOM-based XSS بيخلي الهجوم:
🔥 خبيث 🔥 صامت 🔥 صعب الاكتشاف
لذلك لازم المواقع:

✔ تمنع التضمين داخل iframe​

✔ تفحص المدخلات​

✔ تستخدم CSP​

لأن الأمن مش مجرد Fix… الأمن عملية مستمرة.