SVGを弄り倒していたら、iframeで動作するのか気になったとのこと。
実際やってみたらいけたのでクリックジャッキングで、Googleのサービスを悪用した手法を実現でき、Googleから約3000ドルくらいもらったらしい。
Liquid Glassを再現したかったらしい。
今年Appleから発表されて賛否両論(エンジニア的には批判多い？)のLiquid Glass。
これを再現したかったらしい。
とりあえず頑張ってみたら、CSSとSVGでかなり再現できた？。Chrome,Firefoxだと、よく分からんがSafariならいけるんだろうか。Apple製品は持っていないので確認できていない。
そんでこのSVGで作った効果はiframe上で動作するのかと試したら動作してしまったとのこと。
SVGフィルタでピクセル読み取りと論理ゲートの構築
よくあるクリックジャッキングはiframeを透明に重ねて騙す。1回のクリックに誘導して終わり。iframe内の状態を検知したり、複数のステップで攻撃を進めるのはSVGだけだと無理だった。
しかしながら、SVGフィルタをiframeに適用することで、クロスオリジンのコンテンツのピクセルデータを読み取り、論理演算を行い、視覚的に操作。これにより、JavaScriptなしで複雑な攻撃が可能になった。(凄くね？？？)
SVGで論理演算とか意味わからんけど、できちゃったんだから仕方ない。
これで、iframeにSVGを被せてしまえば、画面操作の後ろ側の状態に応じて全面の状況を調整できるので、JS不要でSVGだけで動的な画面のクリックジャッキングが可能となった。
これ他のサービスでもあるんかなぁ？
つまり、100ドル以上のチャンス？？？？？？？？
