"Sicherheitslücke"? in HTML/Browser >> Vorsicht vor Copy&Paste

[blafoo]

Ich weiß nich wo ichs reinhauen soll..

Betrifft prinzipiel jedes OS, aber nur unter unixoiden Systemen wirklich kagge (MacOS, Linux, Unix etc pp)

http://www.heise.de/newsticker/meldung/Tricks-neu-aufgelegt-Vorsicht-bei-Copy-Paste-1841048.html
http://www.heise.de/security/dienste/Copy-Paste-Tricks-1842691.html

Man kriegt ein zb ls angezeigt aber dahinter ist ein komplexer Code.

Überfährt man nun das ls, copiert halt bei Linux, oder drückt strg-v wird nicht ls in das Clipboard gehauen sondern der versteckte Befehl dahinter.

Ich habs ausprobiert .. klappt

Video vom Linux: http://thinkpad-forum.de/threads/15...py-amp-Paste?p=1588056&viewfull=1#post1588056

Video vom Windows: http://thinkpad-forum.de/threads/15...py-amp-Paste?p=1589161&viewfull=1#post1589161

Grüße

 

[Danton]

Das hatte ich letztens auch bei einer Webseite, die das absichtlich ausnutze (http://www.digitaltrends.com/comput...x-creativity-and-collaboration/#ixzz2PspvJfsg), hat mich auch schon ziemlich verwundert.

Man kopiert den Text zwar eher nicht ins Terminal, und schädlich ist der auch nur bei blöden Zufällen, aber trotzdem find ich das nicht so toll ...

 

[blafoo]

Wo den da?

Grüße

 

[Danton]

Einfach irgendetwas aus dem Fließtext kopieren und irgendwo einfügen.

Aber prinzipiell ist der Schutz da ziemlich naheliegend, einfach nicht übereilt Enter drücken. Aber mach das mal ...

 

[blafoo]

Ne ne eben NICHT!

Das ist es .. wenn du zb nen '\n' mitsendest ist das in einer Konsole, egal ob Linux oder CMD unter Windows, ne NewLine und ist wie Enterdrücken.

Das ls aus dem Text oben ergibt ein:

ls /dev/null; clear; echo -n "Hallo ";whoami|tr -d '\n';echo -e '!\nErwischt!!!\nDas ist die erste Zeile der Datei /etc/passwd: ';head -n1 /etc/passwd
ls /irgend/ein/zum/Tippen/viel/zu/langer/Pfad/

welches folgendes macht:

Hallo bomba!
Erwischt!!!
Das ist die erste Zeile der Datei /etc/passwd: 
root:x:0:0:root:/root:/bin/bash
[20:55:23] <bomba@sternchen> ~ ((Linux 3.8.7-1-ARCH))
0 processes #5 $ ls /irgend/ein/zum/Tippen/viel/zu/langer/Pfad/
ls: Zugriff auf /irgend/ein/zum/Tippen/viel/zu/langer/Pfad/ nicht möglich: Datei oder Verzeichnis nicht gefunden

OHNE das ich was machen musste.

 

[Danton]

Tja, hätt ich mal gelesen, was ich da auf heise in die Box eingefügt habe ... :whistling:
Tja, dann jedes snippet bitte erstmal im bevorzugten Texteditor kontrollieren! Oldtimer

 

[blafoo]

Archlinux, FF 20, KDE

Ich hoffe das funktioniert

Wie man sieht wird der obere Teil, der auch der unsichtbare Teil ist, automatisch ausgeführt.

Nur den Teil den man "eh kopiert hat" bedarf einer Eingabe .. wahrscheinlich um keinen Eindruck zu erwecken

Es ist auf jedenfall Easy befehle einzubetten die man nicht direkt sieht

**EDIT** Doofes Youtube Auf 720p kann man dann auch alles gestochen scharf lesen aber irgendwie kann ich das nicht als Standard-Einstellungen setzten Oo 480p wird als Standard genommen.

 

[Volvo-Berti]

1. es hätte gut unter der Rubrik Linux gepasst
2. ich nutze so gut wie nie copy-paste bei Seiten, die ich nicht kenne...das sollte man aber immer so halten.

 

[blafoo]

Ne warum nur in die Linux-Sektion?

Es passiert unter Windows ja genau so gut

Und jo .. man ist eh oft schneller wenn man das fix tippt .. aber ich kenne halt viele Anfaenger dies einfach sinnbefreit, ohne zu wissen was der Befehl überhaupt macht, kopieren weil da steht: mach das dann geht das vielleicht

Grüße

 

[Der_Haase]

Danke für den Hinweis.
Gerade so "Hobby-Linux-Nutzer" wie ich, die wg. mangelndem Wissen häufig irgendwelche Anleitungen und Tutorials aus dem Netz zu rate ziehen müssen sind hier durchaus gefährdet.
Zeit sein eigenes Verhalten ein wenig zu überdenken, bzw. anzupassen und in Zukunft copy & paste mit ein bisschen mehr nachdenken einsetzen (wenn es um bash-tipps geht).

 

[Volvo-Berti]

siehe Pkt. 2 meiner Aussage.... nicht einfach c+p bei Seiten, die man nicht kennt!

 

[blafoo]

Hey,

hier das ganze unter Windows 8

Ganze geht natürlich acuh wenn man STRG-C zum kopieren des Textes benutzt. Da dort Linux-Befehle hinterlegt sind gehen die natürlich nicht unter Windows. Aber man sieht das er den ersten Befehl absetzten wollte, dies halt nur daran gescheitert ist das es ihn nicht gibt

Grüße