don’t click (clickjacking en twitter)
Escrito por Chema el 12 de febrero de 2009 a las 23:19 pm Comentarios (0)Hoy la curiosidad lleno twitter de mensajes don’t click y el enlace de una misteriosa url con un simple botón.
No era más que un iframe que ocultaba hábilmente el botón de update de la página de twitter, y si pulsabas estando logeado en tu cuenta de twitter mandabas el mensaje “don’t click [y la dichosa url del boton]“ como actualización de estado. Así que otros incautos followers tuyos lo vería de nuevo y propagarían el clickjacking.
En ajaxiam explican como lo hicieron.
iframe { position:absolute;width:550px;height:228px;top:-170px;left:-400px;z-index: 2;opacity: 0;filter: alpha(opacity=0); }
button { position:absolute;top:10px;left:10px;z-index:1;width: 120px; }
Un par de líneas para comprende lo sencillo que fue aprovechar la actualización de status para propagarse. Una simple visita con el firebug lo delata.
Y por cierto, al estar acortada con una tinyURL ya ha sido bloqueada por uso inapropiado. http://tinyurl.com/amgzs6

















El boletín que me han mandado esta tarde los chicos de 
Un visitante que no se esfuma nada más entrar en una web no necesita una barra de navegación. Si ha entrado es por algo. Puede ser el contenido de la entrada. Sí es así, la leerá y después de haber llegado al final, es allí donde encontrará la barra de navegación sin problema alguno ni frustración.