I browser moderni possono utilizzare JavaScript per accedere e manipolare gli appunti dell'utente, sia in lettura che in scrittura. La tecnologia di base non è una novità, ma solo di recente sono emersi online sempre più attacchi (noti come "pastejacking") che sfruttano questa capacità a danno di utenti ignari. Implementare questa funzionalità in JavaScript è piuttosto semplice.
Solo il seguente script è integrato sul lato dannoso:
27670b8ba9840e688369822a3fcfb2d9
Se copi del testo da una pagina di questo tipo, la stringa indesiderata finirà sempre negli appunti (indipendentemente dal testo copiato in questa implementazione). Invece del "comando malvagio" ora puoi inventare molte cose brutte. Il tutto diventa fatale se viene utilizzata un'interruzione di riga alla fine della riga per eseguire immediatamente il codice:
27670b8ba9840e688369822a3fcfb2d9
È anche facile reimpostare l'output della console in modo che l'utente non si accorga immediatamente di ciò che ha inserito. È possibile, ad esempio, che copiando un frammento di codice innocuo si possano distruggere le partizioni.
27670b8ba9840e688369822a3fcfb2d9
Gli appunti possono essere manipolati (in una forma diversa) anche senza JavaScript:
27670b8ba9840e688369822a3fcfb2d9
Se si contrassegna il testo desiderato, ad esempio nell'ultimo Firefox (v. 45.0), negli appunti non finisce il testo, ma il testo dietro di esso.
Entrambi i metodi possono essere provati dal vivo qui. Qui la variante JS:
See the Pen Pastejacking #1 by David Vielhuber (@vielhuber) on CodePen.
Così come la variante CSS:
See the Pen Pastejacking #2 by David Vielhuber (@vielhuber) on CodePen.