Browser modern dapat menggunakan JavaScript untuk mengakses dan memanipulasi clipboard pengguna, baik membaca maupun menulis. Teknologi yang mendasarinya bukanlah hal baru, tetapi baru-baru ini semakin banyak serangan (dikenal sebagai "pastejacking") muncul secara online, yang mengeksploitasi kemampuan ini untuk merugikan pengguna yang tidak curiga. Menerapkan hal ini dalam JavaScript cukup sederhana.
Hanya skrip berikut yang terintegrasi di sisi berbahaya:
27670b8ba9840e688369822a3fcfb2d9
Jika Anda menyalin teks apa pun dari halaman seperti itu, string yang tidak diinginkan selalu berakhir di papan klip (dalam implementasi ini, terlepas dari teks yang disalin). Alih-alih "perintah jahat", Anda sekarang dapat menemukan banyak hal buruk. Semuanya menjadi fatal jika jeda baris di akhir baris digunakan untuk segera mengeksekusi kode:
27670b8ba9840e688369822a3fcfb2d9
Juga mudah untuk mengatur ulang keluaran konsol sehingga pengguna tidak segera menyadari apa yang telah mereka masukkan. Misalnya, ada kemungkinan bahwa saat menyalin cuplikan kode yang tidak berbahaya, Anda mungkin menghancurkan partisi Anda secara sepintas.
27670b8ba9840e688369822a3fcfb2d9
Clipboard dapat dimanipulasi (dalam bentuk berbeda) bahkan tanpa JavaScript:
27670b8ba9840e688369822a3fcfb2d9
Jika Anda menandai teks yang diinginkan, misalnya di Firefox terbaru (v. 45.0) yang masuk ke clipboard bukanlah teks tersebut, melainkan teks di belakangnya.
Kedua metode tersebut dapat dicoba langsung di sini. Di sini varian JS:
See the Pen Pastejacking #1 by David Vielhuber (@vielhuber) on CodePen.
Serta varian CSS:
See the Pen Pastejacking #2 by David Vielhuber (@vielhuber) on CodePen.