前言在找不到洞的时候，点击劫持也是一个好的选择。点击劫持的危害还是要看白帽子能够利用点击劫持做到什么程度。如果是点一下就能getshell那必然是很严重的。当然，对于需要水洞的安服，这种情况只存在于梦里和大佬的分享报告里。
什么是点击劫持？点击劫持是一种基于界面的攻击。攻击者通过将一个被害人需要点击的网页元素放置在另一个透明的网页上来欺骗受害人进行点击，以此来获取用户的敏感信息或执行恶意操作。这种攻击利用了浏览器中的一个漏洞，使得攻击者可以隐藏一个网页的内容，让用户误认为他们正在与可信网站交互，而实际上却在与攻击者的网站交互。
例如，攻击者可能会在一个看似无害的网页上放置一个“点赞”按钮，当用户点击这个按钮时，实际上是在执行攻击者想要的操作，如在用户不知情的情况下发布一条帖子。这种攻击还可以用于窃取用户的个人信息、密码、信用卡号码等敏感信息。
点击劫持与CSRF的区别：
点击劫持是通过欺骗用户来执行某些恶意操作，而CSRF是利用已经被授权的用户的身份来执行某些恶意操作。
点击劫持是用户需要执行诸如单击按钮之类的操作，而CSRF攻击则依赖于在用户不知情或不输入的情况下伪造整个请求。
问一下chatGPT
如何构建点击劫持攻击？作为一个安服，要如何判断一个网站是否存在点击劫持漏洞呢？
静态分析
确认网站是否存在iframe元素。在浏览器中打开网站，并查看网页源代码，搜索是否存在iframe标签。然后确认网站是否使用X-Frame-Options响应头。在浏览器中打开网站，并在浏览器开发者工具中查看响应头信息，查看是否包含X-Frame-Options响应头。
手动验证
将目标网站的的链接放在自定义的点击劫持的页面中，然后进行测试。
点击劫持的demo
修复方法使用X-Frame-Options头部来防止iframe中的内容被其他网站嵌套使用。可以设置X-Frame-Options为DENY，表示该页面不允许被其他网站的iframe使用；或者设置为SAMEORIGIN，表示该页面只能被相同域名下的页面iframe使用。
使用Content-Security-Policy头部来限制页面的资源加载，例如限制只能加载来自同一域名下的脚本、样式和图片等资源。这可以防止攻击者通过嵌入恶意脚本和图片来攻击用户。
使用JavaScript脚本来检测页面是否在一个iframe中运行，如果是，则可以将页面重定向到另一个URL，或者直接禁用页面的交互性元素，以防止用户误操作。
参考链接chatGPT
https://mp.weixin.qq.com/s/Ef-pJ1e-dxmQxBkx-deZfg