Reports
BAJA[CONFIGURACIÓN]#2119892

Clickjacking en sketch.pixiv.net/draw: engañar al usuario con un inicio de sesión falso

Un investigador señaló que la página de dibujo de pixiv Sketch podía usarse en un ataque de clickjacking para engañar a la víctima con un inicio de sesión falso. El reporte consta con severidad baja.

Resumen
Resumen en castellano de un reporte público, no una traducción literal. El código y los comandos se mantienen como en el original.

Resumen

El investigador hyk3n localizó en pixiv Sketch un punto de entrada para un ataque de clickjacking (UI redressing, la debilidad con la que consta el reporte): la página de dibujo.

https://sketch.pixiv.net/draw

Según su reporte, esa página permitía engañar al usuario con un inicio de sesión falso (fake login). El título original habla de toma de control de cuenta, pero el texto público no describe esa cadena completa: lo que queda documentado es el engaño para que la víctima crea que está iniciando sesión. El reporte figura como resuelto y con recompensa, de importe no público, y su severidad es baja. El texto público no explica la causa exacta ni cómo se corrigió.

Pasos de reproducción

La descripción pública es breve y las pruebas estaban en dos adjuntos que no forman parte del texto. Lo que indica es lo siguiente:

  1. Identificar la página objetivo, https://sketch.pixiv.net/draw.
  2. Montar la prueba de concepto de clickjacking con la herramienta que cita el investigador:
https://github.com/shifa123/clickjackingpoc
  1. Usarla para presentar a la víctima un inicio de sesión falso.

Impacto

El investigador describe el impacto en términos generales: con clickjacking se puede inducir a un usuario a realizar acciones no deseadas, como escribir su contraseña, pulsar "Delete my account", dar "me gusta" a una publicación, borrarla o comentar en un blog. En su planteamiento, cualquier acción que un usuario normal pueda hacer en la web legítima podría forzarse así.

Son ejemplos del tipo de ataque, no acciones demostradas una a una en pixiv: el caso concreto del reporte es el inicio de sesión falso.

Qué aprender de este caso

  • Al buscar clickjacking, no te quedes en las páginas de cuenta o de ajustes: aquí el punto señalado fue la página /draw de un subdominio. Comprueba las respuestas de cada subdominio y de cada aplicación auxiliar por separado.
  • Para evitarlo, las páginas que no necesitan incrustarse en otras webs deben negarlo de forma expresa con Content-Security-Policy: frame-ancestors 'none' (o X-Frame-Options: DENY), también en los subdominios con su propia aplicación.
  • Si reportas un caso así, no basta con demostrar que la página se puede enmarcar: "toma de control de cuenta" exige enseñar la cadena hasta llegar a ella. Aquí, con un título que la anunciaba, la severidad quedó en baja.