Clickjacking කියන්නේ attacker කෙනෙක් user කෙනෙක්ව invisible විදිහට click කරවන්න use කරන UI Redressing attack එකක්. සරලව කිව්වොත් attacker තමන්ගේ webpage එක උඩ legitimate website එකක් transparent iframe එකකින් embed කරනවා. iframe එකේ opacity: 0 නිසා ඒක userට පේන්නේ නැහැ. 
ඊට පස්සේ “Win a Prize! 
” වගේ attractive button එකක් පේන්න දාලා userව click කරවනවා. හැබැයි click එක යන්නේ invisible iframe එකට! ඒකෙන් Facebook Like එකක්, account setting change එකක්, purchase එකක් හෝ වෙනත් sensitive action එකක් trigger වෙන්න පුළුවන්. මේකට Likejacking කියන variant එකත් තියෙනවා.
2010 වගේ කාලයේ Facebook Likejacking attacks වලින් usersලා unknowingly malicious pages like කරපු incidents තිබුණා. Camera permission වගේ sensitive actions trick කරවන්නත් clickjacking techniques භාවිතා වෙලා තියෙනවා. 
Developer කෙනෙක්ට protection එක relatively simple. HTTP response එකට X-Frame-Options: DENY දාන්න පුළුවන්. Modern approach එකක් විදිහට CSP එකේ frame-ancestors ‘none’ හෝ ‘self’ use කරන්න පුළුවන්. 
SameSite cookies එකත් impact එක අඩු කරන්න උදව් වෙනවා.
Pentester කෙනෙක්ට missing X-Frame-Options / CSP frame-ancestors check කරලා, authorized target එකක iframe PoC එකක් හදලා test කරන්න පුළුවන්. Bug bounty වලදී meaningful impact එකක් prove කළොත් clickjacking findings accepted වෙන්න පුළුවන්. 
උපුටා ගැනීම : Cyber Safe LK
