استغلال Clickjacking لتنفيذ هجوم DOM XSS خبيث

🛡 استغلال ثغرة Clickjacking لتنفيذ هجوم DOM-based XSS
في عالم أمان تطبيقات الويب، استغلال الثغرات بيتم غالبًا عبر دمج أكثر من نوع هجوم مع بعض. من أخطر الأمثلة إن المهاجم يستخدم ثغرة Clickjacking علشان يفعل هجوم DOM-based XSS بدون ما الضحية ياخد باله.
خلّيني أشرح كل جزء بطريقة بسيطة وواضحة علشان تفهم السيناريو كامل

---

ما هي ثغرة Clickjacking؟ ​

ثغرة Clickjacking هي هجوم يتم فيه خداع المستخدم للنقر على عنصر مختلف تمامًا عن اللي هو شايفه.
وبيحصل ده عن طريق:
✔ وضع عنصر أو طبقة شفافة فوق الصفحة
✔ المستخدم يفتكر إنه بيضغط على زر ظاهر
✖ لكنه في الحقيقة بيضغط على زر مخفي تحت الطبقة

وده ممكن يؤدي:
لتنفيذ عمليات خطيرة
تغيير إعدادات
تفعيل روابط أو أكواد خبيثة
كل ده بدون ما المستخدم يعرف.

---

ما هو DOM-based XSS؟ ​

هجوم DOM-based XSS هو نوع خطير من ثغرات XSS، بيحصل لما:
✔ JavaScript في الصفحة يعدّل DOM
✔ ويدمج مدخلات المستخدم بشكل مباشر
✔ بدون أي فحص أو تنقية

المميز هنا إنه:
ما بيرسلش البيانات الخبيثة للسيرفر
✔ كل الهجوم بيتم داخل المتصفح نفسه
✔ وبسبب خطأ في كود JavaScript

---

كيف يتم دمج Clickjacking مع DOM-XSS؟​

هنا الفكرة العبقرية للمهاجم
المهاجم بدل ما يعتمد على المستخدم إنه يفتح لينك فيه Payload…
يقوم يستخدم Clickjacking ليمكّن الضغط على رابط خبيث بدون ما المستخدم يشوفه أصلاً.

خطوات الهجوم:​

إنشاء صفحة خبيثة فيها iframe للصفحة الضعيفة
وضع طبقة شفافة فوق iframe
إغراء المستخدم (مثلاً: اضغط هنا تربح جائزة )
المستخدم ينقر →
وفي الحقيقة هو ينقر على الرابط الخبيث داخل iframe
الرابط يحتوي على Payload يفعّل DOM-based XSS

---

مثال عملي توضيحي​

نفترض إن الموقع فيه هذا الكود:

var search = document.location.hash.substring(1);
document.getElementById('result').innerHTML = search;

الكود يأخذ أي شيء بعد الـ # من الرابط ويعرضه مباشرة داخل DOM.

إذا المهاجم استخدم:

https://vulnerable.site#<img src=x onerror=alert(1)>

هينفّذ:
alert(1)
✔ لأن innerHTML يسمح بحقن HTML
✔ بدون أي فلترة أو Sanitization

كيف يدخل Clickjacking هنا؟​

المهاجم ينشئ صفحة فيها:

• iframe للموقع الضعيف
• فوقه طبقة شفافة
• المستخدم يضغط على مكان ظاهر
• لكنه فعليًا يضغط على رابط الـ XSS داخل iframe

النتيجة: يتم تنفيذ DOM-XSS بدون ما المستخدم يشوف أي رابط أو يحس بحاجة.

---

🛡 كيفية الحماية من الهجوم؟​

منع Clickjacking​

استخدم أحد الهيدر التالية:

• X-Frame-Options: DENY
• X-Frame-Options: SAMEORIGIN
• أو عبر الـ CSP:

Content-Security-Policy: frame-ancestors 'none';

يمنع تضمين الموقع داخل iframe.

---

فلترة المدخلات Input Validation​

أي مدخلات تُحقن داخل DOM يجب:
✔ ترميزها (HTML Encoding)
✔ منع استخدام innerHTML إلا عند الضرورة
✔ الاعتماد على textContent بدلًا من innerHTML

---

تطبيق Content Security Policy (CSP)​

مثال بسيط:

Content-Security-Policy: script-src 'self';

وده يمنع تنفيذ أي Script خارج الموقع،
وبالتالي حتى لو حصل DOM-XSS… مش هيتنفذ.

---

الخلاصة​

دمج Clickjacking مع DOM-based XSS بيخلي الهجوم:
خبيث
صامت
صعب الاكتشاف

لذلك لازم المواقع:
✔ تمنع التضمين داخل iframe
✔ تفحص المدخلات
✔ تستخدم CSP
لأن الأمن مش مجرد Fix… الأمن عملية مستمرة.