点击劫持

点击劫持示例

假设用户银行的网站是 https://my-bank.example.com。用户通常会保持登陆状态。为简单起见，我们假设该网站的一个网页带有可以将用户的所有资金转给攻击者的按钮——虽然这显然是不现实的，但该网站可能会有一些执行敏感操作的交互元素。

攻击者创建了一个网页，其中包含：

一个 元素，其内容鼓励用户点击它

一个

在页面的 CSS 中，攻击者：

隐藏了