Please enable JavaScript.
Coggle requires JavaScript to display documents.
ATTACCHI CONTRO L'UTENTE PT3 - Coggle Diagram
ATTACCHI CONTRO L'UTENTE PT3
XSS VS CSRF
Questa differenza è molto importante all'orale.
XSS
"Eseguo il mio codice nel tuo browser."
L'attaccante riesce a eseguire JavaScript nella pagina della vittima.
CSRF
"Faccio fare al tuo browser una richiesta che non volevi fare."
L'attaccante non deve necessariamente eseguire codice nella pagina della vittima.
🧠 In breve:
XSS → esecuzione di codice
CSRF → esecuzione di un'azione
9. CLICKJACKING
Cos'è?
È un attacco che induce l'utente a cliccare su un elemento del sito vittima
senza rendersi conto di cosa sta realmente cliccando.
L'attaccante può utilizzare un sito esca e sovrapporre elementi del sito vittima,
ad esempio tramite un iframe.
Schema
Sito esca visibile
↓
elemento del sito vittima nascosto/sovrapposto
↓
l'utente clicca
↓
in realtà interagisce con il sito vittima
10. DIFESA DAL CLICKJACKING
Le principali difese sono:
X-Frame-Options
Content Security Policy (CSP) con frame-ancestors
Servono a impedire o limitare l'inserimento del sito all'interno di un iframe controllato da un altro sito.
🧠 SCHEMA FINALE DA MEMORIZZARE
XSS
→ esegue JavaScript nel browser
→ Reflected / Stored / DOM-based
→ difesa: validazione + output encoding
CSRF
→ induce un utente autenticato a compiere un'azione
→ sfrutta soprattutto l'invio automatico dei cookie
→ difesa: CSRF token + SameSite
Clickjacking
→ inganna l'utente facendogli cliccare un elemento nascosto
→ utilizza spesso iframe e sovrapposizione di elementi
→ difesa: X-Frame-Options + CSP