Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/07048.jsonl.gz/228

Les navigateurs permettent désormais aux développeurs d’ajouter automatiquement le contenu dans le presse-papiers d’un utilisateur, suivant certaines conditions.
A savoir, cela ne peut être déclenchée sur les événements de navigation.
Il convient également de noter, pendant un certain temps des attaques similaires ont été possibles via html / css. Ce qui est différent à ce sujet est le texte peut être copié après un événement, il peut être copié sur un temporisateur court après un événement, et il est plus facile de copier des characters hex dans le presse-papiers, qui peut être utilisé pour exploiter VIM, tout illustré ci-dessous.
Exemple:
Voici une démo d’un site Web qui incite à un utilisateur de copier une commande regardant innocent https://security.love/Pastejacking
Si un utilisateur tente de copier le texte avec des raccourcis clavier, ei ctrl + c ou commande + c, une minuterie 800ms se prépare qui va remplacer le presse-papiers de l’utilisateur par un code malveillant.
echo "not evil"
Serat remplacé par
echo "evil"\n
Ce n’est pas si simple. Une solution peut être de vérifier le contenu de votre presse-papiers avant de coller dans un terminal, mais soyez prudent lorsque vous vérifiez ces commandes. Par exemple, si vous collez dans vim, Les macros vim peuvent être utilisés pour vous exploiter. Un exemple de ceci est visible dans cette démonstration ci-dessous:
copyTextToClipboard('echo "evil"\n \x1b:!cat /etc/passwd\n');
Cet exemple écho lorsqu’il est collé dans le terminal, et il fera un “cat /etc/passwd” du fichier de l’utilisateur lorsqu’il sera collé dans vim.
[sgmb id=1]