پیش‌نویس:کلیک‌ربایی

کلیک‌ربایی ()، که در دسته حملات تغییر ظاهر رابط کاربری یا UI redressing قرار می‌گیرد، تکنیکی مخرب است که در آن کاربر فریب داده می‌شود تا روی چیزی متفاوت از آنچه می‌بیند و تصور می‌کند کلیک کند. این حمله می‌تواند منجر به افشای اطلاعات محرمانه یا اجازه به دیگران برای به‌دست‌گرفتن کنترل رایانه کاربر، هنگام کلیک روی اشیاء به‌ظاهر بی‌خطر (از جمله صفحات وب) شود.Robert McMillan (17 September 2008). "At Adobe's request, hackers nix 'clickjacking' talk". PC World. Archived from the original on 17 July 2015. Retrieved 8 October 2008.Megha Dhawan (29 September 2008). "Beware, clickjackers on the prowl". The Times of India. Archived from the original on 24 July 2009. Retrieved 8 October 2008.Fredrick Lane (8 October 2008). "Web Surfers Face Dangerous New Threat: 'Clickjacking'". newsfactor.com. Archived from the original on 13 October 2008. Retrieved 8 October 2008.Shahriar, Hossain; Devendran, Vamshee Krishna (4 July 2014). "Classification of Clickjacking Attacks and Detection Techniques". Information Security Journal: A Global Perspective. 23 (4–6): 137–147. doi:10.1080/19393555.2014.931489. ISSN 1939-3555. S2CID 43912852.

کلیک‌ربایی نمونه‌ای از مسئله معاون سردرگم (Confused deputy problem) است که در آن، یک رایانه فریب می‌خورد تا از اختیارات و دسترسی‌های خود سوءاستفاده کند.

 تاریخچه 
در سال ۲۰۰۲ اشاره شده بود که امکان بارگذاری یک لایه شفاف بر روی یک صفحه وب وجود دارد، به‌طوری که ورودی‌های کاربر بدون اینکه خودش متوجه شود، روی آن لایه شفاف تأثیر بگذارد.Niemietz, Marcus (2012). "UI Redressing Attacks on Android Devices" (PDF). Black Hat. با این حال، ارائهٔ راهکارها و اصلاحات برای این مشکل تازه از حدود سال ۲۰۰۴ آغاز شد"162020 - pop up XPInstall/security dialog when user is about to click (comment 44)". Mozilla/Firefox bug tracker. و این مسئله تا سال ۲۰۰۸ به عنوان یک چالش و تهدید بزرگ تا حد زیادی نادیده گرفته می‌شد.

در سال ۲۰۰۸، ارمیا گراسمن (Jeremiah Grossman) و رابرت هانسن (Robert Hansen) از شرکت سِک‌تئوری (SecTheory)، کشف کردند که ادوبی فلش پلیر (Adobe Flash Player) در برابر حملات کلیک‌ربایی آسیب‌پذیر است؛ نقصی که به مهاجم اجازه می‌داد بدون آگاهی کاربر، به رایانه او دسترسی پیدا کند.گراسمن و هانسن اصطلاح «کلیک‌ربایی» (Clickjacking) را ابداع کردندYou don't know (click)jack Robert Lemos, October 2008JAstine, Berry. "Facebook Help Number 1-888-996-3777". Retrieved 7 June 2016. که واژه‌ای آمیخته (Portmanteau) از کلمات «کلیک» (Click) و «ربودن» (Hijacking) است.

با کشف حملات بیشتر از این نوع، تمرکز اصطلاح «تغییر ظاهر رابط کاربری» (UI redressing) دستخوش تغییر شد تا به جای اشاره به خودِ کلیک‌ربایی، دسته‌بندی کلی این نوع حملات را توصیف کند.

 شرح 
یکی از انواع کلیک‌ربایی، از آسیب‌پذیری‌های موجود در برنامه‌ها یا صفحات وب سوءاستفاده می‌کند تا به مهاجم اجازه دهد رایانه کاربر را به نفع خود هدایت و کنترل کند.

به عنوان مثال، یک صفحهٔ کلیک‌ربایی‌شده با فریب دادن کاربر برای کلیک روی پیوندهای پنهان، او را وادار به انجام اقدامات ناخواسته می‌کند. در یک صفحهٔ کلیک‌ربایی‌شده، مهاجمان صفحهٔ دیگری را در یک لایهٔ شفاف روی صفحهٔ اصلی بارگذاری می‌کنند تا کاربر را به انجام اقداماتی ترغیب کنند که نتایج آن‌ها با انتظارات کاربر متفاوت است. کاربران بی‌خبر تصور می‌کنند که روی دکمه‌های قابل مشاهده کلیک می‌کنند، در حالی که در واقع در حال انجام اقداماتی روی صفحهٔ نامرئی و کلیک روی دکمه‌های صفحهٔ زیرینِ آن لایه هستند. این صفحهٔ پنهان ممکن است یک صفحهٔ احراز هویت باشد؛ از این رو، مهاجمان می‌توانند کاربران را به انجام اقداماتی فریب دهند که هرگز قصد انجامشان را نداشته‌اند. از آنجا که کاربران واقعاً در صفحهٔ پنهان احراز هویت شده‌اند، هیچ راهی برای ردیابی این اقدامات و انتساب آن‌ها به مهاجمان در آینده وجود نخواهد داشت.

 دسته‌های کلیک‌ربایی 
 کلاسیک (Classic): عمدتاً از طریق یک مرورگر وب عمل می‌کند.
 لایک‌ربایی (Likejacking): از قابلیت‌ها و امکانات شبکه اجتماعی فیس‌بوک سوءاستفاده می‌کند."Viral clickjacking 'Like' worm hits Facebook users". Naked Security. 31 May 2010. Retrieved 23 October 2018."Facebook Worm – "Likejacking"". Naked Security. 31 May 2010. Retrieved 23 October 2018.
 آشیانه‌ای (Nested): نوعی از کلیک‌ربایی که به‌طور اختصاصی برای تحت تأثیر قرار دادن گوگل پلاس (Google+) طراحی شده است.Lekies, Sebastian (2012). "On the fragility and limitations of current Browser-provided Clickjacking protection schemes" (PDF). USENIX.
 نشانگرربایی (Cursorjacking): ظاهر و موقعیت مکان‌نما (نشانگر موس) را دستکاری می‌کند.
 موس‌ربایی (MouseJacking): دستورهای کیبورد یا حرکت موس را از طریق یک اتصال رادیویی (RF) از راه دور تزریق می‌کند."Wireless Mouse Hacks & Network Security Protection". MOUSEJACK. Retrieved 3 January 2020.
 بدون مرورگر (Browserless): از مرورگر وب استفاده نمی‌کند.
 کوکی‌ربایی (Cookiejacking): کوکی‌ها را از مرورگرها می‌رباید و به دست می‌آورد.Valotta, Rosario (2011). "Cookiejacking". tentacoloViola – sites.google.com. Archived from the original on 7 August 2019. Retrieved 23 October 2018.
 فایل‌ربایی (Filejacking): قادر است دستگاه آسیب‌دیده را به عنوان یک فایل‌سرور (سرور میزبان فایل) پیکربندی و راه‌اندازی کند."Filejacking: How to make a file server from your browser (with HTML5 of course)". blog.kotowicz.net. Retrieved 23 October 2018."Password Managers: Attacks and Defenses" (PDF). Retrieved 26 July 2015.
 حمله به مدیریت گذرواژه (Password manager attack): نوعی کلیک‌ربایی که از آسیب‌پذیری موجود در قابلیت تکمیل خودکار (Autofill) مرورگرها سوءاستفاده می‌کند.

 کلاسیک 
کلیک‌ربایی کلاسیک به وضعیتی اشاره دارد که در آن، مهاجم از لایه‌های پنهان در صفحات وب برای دستکاری اقدامات نشانگر (کِرسِر) کاربر استفاده می‌کند؛ امری که منجر به گمراه شدن کاربر دربارهٔ آنچه واقعاً روی آن کلیک می‌شود، خواهد شد.Sahani, Rishabh; Randhawa, Sukhchandan (1 December 2021). "Clickjacking: Beware of Clicking". Wireless Personal Communications. 121 (4): 2845–2855. doi:10.1007/s11277-021-08852-y. ISSN 0929-6212. S2CID 239691334.

به عنوان مثال، ممکن است کاربر ایمیلی حاوی پیوند به یک ویدئوی خبری دریافت کند، اما صفحه وب دیگری (مثلاً صفحه یک محصول در آمازون) روی دکمه «پخش» (PLAY) آن ویدئوی خبری یا در زیر آن «پنهان» شده باشد. کاربر تلاش می‌کند ویدئو را «پخش» کند، اما در واقع آن محصول را از آمازون «خریداری» می‌کند. نفوذگر (هکر) در این حالت تنها می‌تواند یک کلیک واحد را ارسال کند، بنابراین به این واقعیت اتکا می‌کند که بازدیدکننده هم‌زمان به حساب آمازون خود وارد شده و قابلیت «خرید با یک کلیک» (1-click ordering) را نیز فعال کرده باشد.

اگرچه پیاده‌سازی فنی این حملات ممکن است به دلیل عدم سازگاری میان مرورگرهای مختلف چالش‌برانگیز باشد، اما تعدادی از ابزارها مانند بیف (BeEF) یا پروژه متاسپلویت (Metasploit Project) امکان بهره‌جویی (اکسپلویت) تقریباً تمام‌خودکار از کلاینت‌ها را در وب‌سایت‌های آسیب‌پذیر فراهم می‌کنند. کلیک‌ربایی می‌تواند توسط سایر حملات وب مانند اکس‌اس‌اس (XSS) تسهیل شود یا خود زمینه‌ساز تسهیل آن‌ها باشد."The Clickjacking meets XSS: a state of art". Exploit DB. 26 December 2008. Retrieved 31 March 2015.Krzysztof Kotowicz. "Exploiting the unexploitable XSS with clickjacking". Retrieved 31 March 2015.

 لایک‌ربایی 
لایک‌ربایی (Likejacking) یک تکنیک مخرب است که در آن، کاربرانی که در حال بازدید از یک وب‌سایت هستند فریب داده می‌شوند تا یک صفحه فیس‌بوک یا سایر پست‌ها و حساب‌های رسانه‌های اجتماعی را «لایک» کنند، در حالی که هرگز قصد انجام چنین کاری را نداشته‌اند.Cohen, Richard (31 May 2010). "Facebook Work – "Likejacking"". Sophos. Archived from the original on 4 June 2010. Retrieved 5 June 2010. اصطلاح «لایک‌ربایی» نخستین بار از کامنتی برگرفته شد که توسط کوری بالو (Corey Ballou) در مقاله‌ای با عنوان چگونه هر چیزی را در وب (به صورت ایمن) لایک کنیم ارسال شده بود؛Ballou, Corey (2 June 2010). ""Likejacking" Term Catches On". jqueryin.com. Archived from the original on 5 June 2010. Retrieved 8 June 2010. این مقاله یکی از اولین پست‌های مستندشده‌ای است که احتمال فعالیت‌های مخرب مربوط به دکمه «لایک» فیس‌بوک را توضیح می‌دهد.Perez, Sarah (2 June 2010). ""Likejacking" Takes Off on Facebook". ReadWriteWeb. Archived from the original on 16 August 2011. Retrieved 5 June 2010.

بر اساس مقاله‌ای در مجله آی‌ای‌ای‌ای اسپکتروم (IEEE Spectrum)، راهکاری برای مقابله با لایک‌ربایی در یکی از هکاتون‌های فیس‌بوک توسعه یافته است.Kushner, David (June 2011). "Facebook Philosophy: Move Fast and Break Things". IEEE. Archived from the original on 7 June 2011. Retrieved 15 July 2011. همچنین یک بوک‌مارکلت (Bookmarklet) برای «لایک کردن» در دسترس قرار دارد که از وقوع لایک‌رباییِ ممکن در دکمه لایکِ استاندارد فیس‌بوک جلوگیری می‌کند.Perez, Sarah (23 April 2010). "How to "Like" Anything on the Web (Safely)". ReadWriteWeb. Archived from the original on 30 April 2013. Retrieved 24 August 2011.

 آشیانه‌ای 
کلیک‌ربایی آشیانه‌ای (Nested clickjacking) در مقایسه با کلیک‌ربایی کلاسیک، از طریق جاسازی یک فریم وب مخرب بین دو فریم از یک صفحه وب اصلی و بی‌خطر عمل می‌کند؛ یعنی بین فریمِ صفحهٔ داخل کادر (Framed page) و فریمی که در پنجرهٔ بالایی (Top window) نمایش داده می‌شود. این حمله به دلیل وجود یک آسیب‌پذیری در هدر اچ‌تی‌تی‌پیِ X-Frame-Options رخ می‌دهد؛ به این صورت که وقتی مقدار این عنصر روی SAMEORIGIN تنظیم شده باشد، مرورگر وب تنها دو لایهٔ یادشده را بررسی می‌کند. این واقعیت که فریم‌های اضافی می‌توانند بدون شناسایی شدن بین این دو لایه قرار گیرند، به این معنی است که مهاجمان می‌توانند از این نقص به نفع خود سوءاستفاده کنند.

در گذشته، در سرویس گوگل پلاس (+Google) و نسخهٔ معیوب هدر X-Frame-Options، مهاجمان توانستند با استفاده از آسیب‌پذیری موجود در موتور جستجوی تصویر گوگل، فریم‌های دلخواه خود را تزریق کنند. در بین فریم‌های نمایش تصویر (که در گوگل پلاس نیز وجود داشتند)، این فریم‌های تحت کنترل مهاجم قادر بودند بدون هیچ محدودیتی بارگذاری شوند و به مهاجمان اجازه دهند هر کسی را که وارد صفحهٔ نمایش تصویر می‌شود، گمراه کنند.

 نشانگرربایی 
نشانگرربایی (CursorJacking) یک تکنیکِ تغییر ظاهر رابط کاربری (UI redressing) برای تغییر مکانِ واقعی مکان‌نما (کِرسِر) نسبت به موقعیتی است که کاربر تصور می‌کند؛ این تکنیک در سال ۲۰۱۰ توسط ادی بوردی (Eddy Bordi)، پژوهشگر وب‌سایت vulnerability.fr کشف شد.Podlipensky, Paul. "Cursor Spoofing and Cursorjacking". Podlipensky.com. Paul Podlipensky. Archived from the original on 22 November 2017. Retrieved 22 November 2017. مارکوس نیمیتیس (Marcus Niemietz) این حمله را با استفاده از یک آیکون سفارشی برای نشانگر موس پیاده‌سازی کرد و در سال ۲۰۱۲، ماریو هایدریش (Mario Heiderich) با پنهان کردن کامل نشانگر موفق به اجرای آن شد.Krzysztof Kotowicz (18 January 2012). "Cursorjacking Again". Retrieved 31 January 2012.

ژوردی شانسل (Jordi Chancel)، پژوهشگر وب‌سایت Alternativ-Testing.fr، یک آسیب‌پذیری نشانگرربایی را با استفاده از کدهای فلش، HTML و جاوااسکریپت در مرورگر موزیلا فایرفاکس بر روی سیستم‌عامل مک (Mac OS X) کشف کرد (که در نسخه فایرفاکس ۳۰.۰ برطرف شد)؛ این آسیب‌پذیری می‌توانست منجر به اجرای کد دستوری خودسرانه (Arbitrary code execution) و جاسوسی از طریق وب‌کم شود."Mozilla Foundation Security Advisory 2014-50". Mozilla. Retrieved 17 August 2014.

دومین آسیب‌پذیری نشانگرربایی نیز مجدداً توسط ژوردی شانسل در موزیلا فایرفاکس بر روی سیستم‌عامل مک کشف شد (که در نسخه فایرفاکس ۳۷.۰ برطرف شد)؛ این مورد نیز بار دیگر با استفاده از کدهای فلش، HTML و جاوااسکریپت انجام می‌گرفت و می‌توانست منجر به جاسوسی از طریق وب‌کم و نصب و اجرای یک افزونهٔ مخرب شود که امکان اجرای بدافزار را بر روی رایانهٔ کاربر آسیب‌دیده فراهم می‌کرد."Mozilla Foundation Security Advisory 2015-35". Mozilla. Retrieved 25 October 2015.

 موس‌ربایی 
برخلاف سایر تکنیک‌های کلیک‌ربایی که بر تغییر ظاهر رابط کاربری (UI redressing) تکیه دارند، موس‌ربایی (MouseJack) یک آسیب‌پذیری سخت‌افزاری و بی‌سیم در رابطه کاربری است که اولین بار توسط مارک نولین (Marc Newlin) از وب‌سایت Bastille.net در سال ۲۰۱۶ گزارش شد؛ این نقص امنیتی اجازه می‌دهد تا دستورهای یک کیبورد خارجی به دانگل‌های بی‌سیمِ آسیب‌پذیر تزریق شود."What is MouseJack!". Bastille. Retrieved 3 January 2020. شرکت لاجیتک (Logitech) پچ‌های به‌روزرسانی سفت‌افزار (Firmware) را برای رفع این مشکل ارائه کرد، اما سایر تولیدکنندگان به این آسیب‌پذیری پاسخی ندادند و آن را برطرف نکردند."CERT VU#981271 Multiple wireless keyboard/mouse devices use an unsafe proprietary wireless protocol". kb.cert.org. Retrieved 3 January 2020.

 بدون مرورگر 
در کلیک‌ربایی بدون مرورگر (Browserless clickjacking)، مهاجمان از آسیب‌پذیری‌های موجود در برنامه‌ها سوءاستفاده می‌کنند تا بدون نیاز به حضور یا استفاده از یک مرورگر وب، کلیک‌ربایی کلاسیک را در آن‌ها شبیه‌سازی و بازآفرینی کنند.

این روش از کلیک‌ربایی عمدتاً در دستگاه‌های تلفن همراه و به‌ویژه در دستگاه‌های اندرویدی (Android) رایج است که دلیل اصلی آن به نحوهٔ عملکرد اعلان‌های توست (Toast notifications) برمی‌گردد. از آنجا که در اعلان‌های توست، تأخیر کوتاهی میان زمان درخواست اعلان و زمان نمایش واقعی آن بر روی صفحه وجود دارد، مهاجمان قادرند از این فاصلهٔ زمانی برای ایجاد یک دکمهٔ ساختگی استفاده کنند که در زیر اعلان پنهان می‌ماند اما همچنان قابل کلیک کردن است.

 کوکی‌ربایی 
کوکی‌ربایی (Cookiejacking) نوعی از کلیک‌ربایی است که در آن، کوکی‌ها (Cookies) از مرورگر وب قربانی به سرقت می‌روند. این کار با فریب دادن کاربر برای کشیدن و رها کردن (Dragging) شیئی انجام می‌شود که به‌ظاهر بی‌خطر به نظر می‌رسد، اما در واقع کاربر را وادار می‌کند تا تمام محتوای کوکی مورد نظر مهاجم را انتخاب (Select) کند. از آنجا به بعد، مهاجم می‌تواند به آن کوکی و تمام داده‌های موجود در آن دسترسی پیدا کند.

 فایل‌ربایی 
در فایل‌ربایی (Filejacking)، مهاجمان از قابلیت مرورگر وب برای پیمایش در رایانه و دسترسی به فایل‌های سیستم استفاده می‌کنند تا به داده‌های شخصی کاربر دسترسی یابند. این حمله با فریب دادن کاربر برای راه‌اندازی و برقراری یک فایل‌سرور فعال (از طریق پنجرهٔ انتخاب فایل و پوشه که مرورگرها استفاده می‌کنند) انجام می‌شود. با این کار، مهاجمان می‌توانند به فایل‌های موجود در رایانهٔ قربانیان خود دسترسی پیدا کرده و آن‌ها را بربایند.

 حمله به مدیریت گذرواژه 
یک مقاله پژوهشی در سال ۲۰۱۴ توسط محققان دانشگاه کارنگی ملون (Carnegie Mellon University) نشان داد که اگرچه مرورگرها در صورت تفاوت پروتکل صفحه ورود فعلی با پروتکل زمان ذخیرهٔ رمز عبور از تکمیل خودکار (Autofill) خودداری می‌کنند، اما برخی از برنامه‌های مدیریت گذرواژه، به‌طور ناامنی رمزهای عبور ذخیره‌شده در پروتکل امن HTTPS را در نسخهٔ ناامن HTTP نیز وارد می‌کنند. اکثر این برنامه‌های مدیریتی در برابر حملات مبتنی بر آی‌فریم (iFrame) و تغییر مسیر (Redirection) محافظتی ارائه نمی‌دادند و در مواردی که از قابلیت همگام‌سازی رمز عبور (Password synchronization) میان چندین دستگاه استفاده شده بود، گذرواژه‌های اضافی را نیز در معرض افشا قرار می‌دادند.

 پیشگیری 
 پیشگیری در سمت کاربر (Client-side) 
 افزونه نواسکریپت (NoScript) 
امکان افزودن قابلیت پیشگیری در برابر کلیک‌ربایی (از جمله لایک‌ربایی) به نسخه‌های دسکتاپ و موبایل موزیلا فایرفاکسGiorgio Maone (24 June 2011). "NoScript Anywhere". hackademix.net. Retrieved 30 June 2011. از طریق نصب افزونهٔ نُواسکریپت (NoScript) وجود دارد. قابلیت کلیرکلیک (ClearClick) در این افزونه که در ۸ اکتبر ۲۰۰۸ منتشر شد، کاربران را از کلیک روی عناصر نامرئی یا «تغییر ظاهر یافته» در اسناد یا اپلت‌های جاسازی‌شده بازمی‌دارد.Giorgio Maone (8 October 2008). "Hello ClearClick, Goodbye Clickjacking". hackademix.net. Retrieved 27 October 2008. بر اساس «کتابچه راهنمای امنیت مرورگر» شرکت گوگل در سال ۲۰۰۸، قابلیت کلیرکلیک در نُواسکریپت، یک «محصول رایگان و در دسترس است که درجهٔ قابل‌بولی از محافظت» را در برابر کلیک‌ربایی ارائه می‌دهد.Michal Zalevski (10 December 2008). "Browser Security Handbook, Part 2, UI Redressing". Google Inc. Retrieved 27 October 2008. همچنین محافظت در برابر حملهٔ جدیدترِ نشانگرربایی (Cursorjacking) به نسخهٔ NoScript 2.2.8 RC1 اضافه شد.

 افزونه نوکلیک‌جک (NoClickjack) 
افزونهٔ مرورگر وب «NoClickjack» بدون ایجاد تداخل در عملکرد آی‌فریم‌های (iFrames) مجاز و قانونی، قابلیت محافظت در سمت کاربر را برای کاربران گوگل کروم، موزیلا فایرفاکس، اپرا و مایکروسافت اج فراهم می‌کند. نوکلیک‌جک بر پایهٔ فناوری توسعه‌یافته برای نرم‌افزار GuardedID ساخته شده و استفاده از این افزونه کاملاً رایگان است.

 نرم‌افزار GuardedID 
نرم‌افزار GuardedID (یک محصول تجاری)، بدون ایجاد تداخل در عملکرد آی‌فریم‌های قانونی، قابلیت محافظت در برابر کلیک‌ربایی را در سمت کاربر برای کاربران اینترنت اکسپلورر فراهم می‌کند.Robert Hansen (4 February 2009). "Clickjacking and GuardedID ha.ckers.org web application security lab". Retrieved 30 November 2011. سیستم حفاظتی این نرم‌افزار، تمامی فریم‌ها را مجبور به آشکار و قابل‌مشاهده شدن می‌کند. تیم توسعهٔ GuardedID با همکاری افزونهٔ NoClickjack، این قابلیت حفاظتی را به مرورگرهای گوگل کروم، موزیلا فایرفاکس، اپرا و مایکروسافت اج نیز اضافه کرده است.

 مرورگر گزل (Gazelle) 
گزل (Gazelle) یک پروژهٔ تحقیقاتی از مایکروسافت ریسرچ برای ساخت یک مرورگر وب امن بر پایهٔ اینترنت اکسپلورر است که از یک مدل امنیتی شبیه به سیستم‌عامل استفاده می‌کند و دفاع محدود اختصاصی خود را در برابر کلیک‌ربایی دارد.Wang, Helen J. ; Grier, Chris; Moschchuk, Alexander; King, Samuel T. ; Choudhury, Piali; Venter, Herman (August 2009). "The Multi-Principal OS Construction of the Gazelle Web Browser" (PDF). 18th Usenix Security Symposium, Montreal, Canada. Retrieved 26 January 2010. در مرورگر گزل، یک پنجره با منشأ (Origin) متفاوت تنها در صورتی می‌تواند محتوای پویا را روی فضای صفحهٔ پنجرهٔ دیگر ترسیم کند که محتوای ترسیم‌شده کاملاً کدر (Opaque) و غیرشفاف باشد.

 رابط برنامه‌نویسی Intersection Observer v2 
رابط برنامه‌نویسی (API) نسخهٔ دوم Intersection Observer,"Intersection Observer – W3C Editor's Draft". مفهوم ردیابی «شفافیت و رؤیت‌پذیری» واقعی یک عنصر هدف را دقیقاً به همان صورتی که یک انسان آن را تعریف می‌کند، معرفی می‌نماید."Trust is Good, Observation is Better". این قابلیت به یک ویجت کادربندی‌شده (موجود در فریم) اجازه می‌دهد تا متوجه شود چه زمانی توسط عنصر دیگری پوشانده شده است. این ویژگی به‌طور پیش‌فرض از آوریل ۲۰۱۹ در نسخهٔ ۷۴ گوگل کروم فعال شده است."De-anonymization via Clickjacking in 2019". این API در سایر مرورگرهای مبتنی بر کرومیوم مانند مایکروسافت اج و اپرا نیز پیاده‌سازی شده است.

 پیشگیری در سمت سرور (Server-side) 
 فریم‌کیلر (Framekiller) 
مالکان وب‌سایت‌ها می‌توانند با گنجاندن یک قطعه کد جاوااسکریپت به نام «فریم‌کیلر» (تنظیم‌کنندهٔ تخریب فریم) در صفحاتی که تمایل ندارند در فریم‌های منابع دیگر قرار بگیرند، از کاربران خود در برابر تغییر ظاهر رابط کاربری (کلیک‌ربایی مبتنی بر فریم) در سمت سرور محافظت کنند.

با این حال، چنین حفاظت‌های مبتنی بر جاوااسکریپتی همیشه قابل اعتماد نیستند. این موضوع به‌ویژه در مرورگر اینترنت اکسپلورر صادق است؛ جایی که این نوع از اقدامات پیشگیرانه می‌تواند به صورت ساختاری (توسط خود ویژگی‌های طراحی‌شده مرورگر)، با قرار دادن صفحهٔ هدف در داخل یک عنصر <IFRAME SECURITY=restricted> دور زده شود.Giorgio Maone (27 October 2008). "Hey IE8, I Can Has Some Clickjacking Protection". hackademix.net. Retrieved 27 October 2008.

 هدر X-Frame-Options 
در سال ۲۰۰۹، هدر اچ‌تی‌تی‌پِی جدیدی به نام X-Frame-Options در اینترنت اکسپلورر ۸ معرفی شد که محافظت نسبی را در برابر کلیک‌ربایی ارائه می‌دادEric Lawrence (27 January 2009). "IE8 Security Part VII: ClickJacking Defenses". Retrieved 30 December 2010.Eric Lawrence (30 March 2010). "Combating ClickJacking With X-Frame-Options". Retrieved 30 December 2010. و مدت کوتاهی پس از آن توسط سایر مرورگرها (سافاری،Ryan Naraine (8 June 2009). "Apple Safari jumbo patch: 50+ vulnerabilities fixed". Archived from the original on 12 June 2009. Retrieved 10 June 2009. فایرفاکس،https://developer.mozilla.org/en/The_X-FRAME-OPTIONS_response_header Archived 7 October 2010 at the Wayback Machine The X-Frame-Options response header — MDC کروم،Adam Barth (26 January 2010). "Security in Depth: New Security Features". Retrieved 26 January 2010. و اپرا"Web specifications support in Opera Presto 2.6". 12 October 2010. Archived from the original on 14 January 2012. Retrieved 22 January 2012.) نیز به کار گرفته شد. این هدر، زمانی که توسط مالک وب‌سایت تنظیم می‌شود، خط‌مشی و سیاست ترجیحی کادربندی صفحه را اعلام می‌کند: مقادیر DENY(منع کامل)، ALLOW-FROM origin (اجازه از منشأ خاص)، یا SAMEORIGIN (فقط هم‌منشأ) به ترتیب از هرگونه کادربندی، کادربندی توسط سایت‌های خارجی جلوگیری می‌کنند یا اجازهٔ کادربندی را تنها به سایت مشخص‌شده می‌دهند. علاوه بر این، برخی از سایت‌های تبلیغاتی مقدار غیراستاندارد ALLOWALL را با هدف اجازه دادن به کادربندی محتوای خود در هر صفحه‌ای بازمی‌گردانند (که معادل اصلاً تنظیم نکردن هدر X-Frame-Options است).
در سال ۲۰۱۳، هدر X-Frame-Options به‌طور رسمی به عنوان RFC 7034 منتشر شد،"HTTP Header Field X-Frame-Options". IETF. 2013. اما یک استاندارد اینترنتی به‌شمار نمی‌رود. این سند صرفاً برای اهداف اطلاع‌رسانی ارائه شده است. توصیه‌نامهٔ سطح ۲ «سیاست امنیت محتوا» (CSP) متعلق به کنسرسیوم وب (W3C)، یک دستورالعمل امنیتی جایگزین به نام frame-ancestors ارائه می‌دهد که هدف آن منسوخ کردن هدر X-Frame-Options است."Content Security Policy Level 2". W3C. 2016.

یک هدر امنیتی مانند X-Frame-Options نمی‌تواند از کاربران در برابر حملات کلیک‌ربایی که از فریم استفاده نمی‌کنند، محافظت کند.["lcamtuf's blog: X-Frame-Options, or solving the wrong problem"]. 10 December 2011.

 سیاست امنیت محتوا (Content Security Policy) 
دستورالعمل frame-ancestors در «سیاست امنیت محتوا» یا همان CSP (معرفی‌شده در نسخه ۱.۱)، می‌تواند به صفحات وبِ بالقوه مخرب اجازهٔ جاسازی محتوا با استفاده از iframe, object و غیره را بدهد یا آن‌ها را منع کند. این دستورالعمل، هدر X-Frame-Options را منسوخ می‌کند. اگر صفحه‌ای همراه با هر دو هدر ارائه شود، مرورگر باید سیاست frame-ancestors را ترجیح داده و اولویت قرار دهد،"Content Security Policy Level 2". w3.org. 2 July 2014. Archived from the original on 18 May 2025. Retrieved 29 January 2015. هرچند این الزام در نسخه‌های قدیمی‌ترِ برخی از مرورگرها نادیده گرفته می‌شد."Clickjacking Defense Cheat Sheet". Archived from the original on 28 June 2025. Retrieved 11 July 2025.

نمونه‌هایی از سیاست‌های دستورالعمل frame-ancestors:# عدم اجازه به هرگونه جاسازی و کادربندی. تمام آی‌فریم‌ها سفید خواهند شد یا یک صفحه خطای اختصاصی مرورگر را نشان می‌دهند.
Content-Security-Policy: frame-ancestors 'none'# اجازه دادن به کادربندی و جاسازی تنها برای محتوای متعلق به خودِ سایت.
Content-Security-Policy: frame-ancestors 'self'# اجازه دادن به دامنه‌ها و منشأهای مشخص برای جاسازی این محتوا
Content-Security-Policy: frame-ancestors www.example.com www.wikipedia.org

 جستارهای وابسته 
 امنیت مرورگر
 تزریق اسکریپت از طریق وبگاه
 ایمنی اینترنتی
 امنیت اینترنت
 فیشینگ
 هکر امنیتی

 منابع 

:رده:فرهنگ رایانش
:رده:هک (امنیت رایانه)
:رده:مهندسی اجتماعی (امنیت کامپیوتر)
:رده:بهره‌جوهای امنیتی وب