Twitter的Clickjacking Spam

今天早上打开看新闻，看到Twitter 被 Clickjacking Spam 攻击了。



攻击者使用了一个透明的iframe指向 Twitter, 下面放的是一个button，当用户点击button时，实际上是在 Twitter 上进行了操作。同时该操作会复制此行为进行传播.

原理演示：

CSS:

1. iframe { position:absolute;width:550px;height:228px;top:-170px;left:-400px;z-index: 2;opacity: 0;filter: alpha(opacity=0); }
2. button { position:absolute;top:10px;left:10px;z-index:1;width: 120px; }

目前Twitter 通过增加frame busting 的方式修补了该漏洞。