点击劫持是一种欺骗性网络攻击，用户被诱骗点击不可见或伪装成不同元素的网页元素。此类攻击可能会导致用户无意中执行一些操作，例如下载恶意软件、访问恶意网站、泄露敏感信息、转账或进行意外的在线购买。
攻击通常涉及使用内联框架 (iframe) 将不可见网页或 HTML 元素分层到可见页面上。对于用户来说，网页看起来很正常，但实际上，他们的点击被重定向到这个隐藏层。因此，用户认为他们正在与可见的页面进行交互，而实际上他们正在与不可见的层进行交互，这可能会导致意想不到的后果。
点击劫持的一种常见情况是操纵合法网页，例如银行网站，用户可能会无意中授权金融交易。攻击者有效地劫持用户的点击，并为了自己的利益而重定向它。
点击劫持攻击有多种形式：
- 点赞劫持：此变体针对社交媒体平台，例如 Facebook。它涉及操纵“喜欢”按钮，使用户在不知不觉中“喜欢”他们不打算认可的页面或内容。此技术可以传播恶意内容或以欺诈方式提高页面的受欢迎程度。
- 光标劫持：另一种变体涉及更改用户的光标位置。攻击者改变光标的外观或位置，误导用户他们在屏幕上的实际点击位置。这种方法历史上曾利用过 Web 浏览器和 Flash 等插件中的漏洞，其中许多漏洞已得到修补。
为了防止点击劫持，可以采用各种防御策略。其中包括实施框架破坏脚本（阻止网页在 iframe 中显示），以及利用 X-Frame-Options HTTP 标头等安全功能（可以限制如何以及是否可以对页面进行框架）。用户还可以通过保持浏览器和插件更新以及对不太熟悉的网站上的点击和交互保持谨慎来增强保护。了解并了解点击劫持策略对于开发人员和用户防范这些欺骗性和潜在有害的攻击至关重要。