Browserele moderne pot folosi JavaScript pentru a accesa și manipula clipboard-ul utilizatorului, atât citind, cât și scriind. Tehnologia de bază nu este nimic nou, dar abia recent au apărut tot mai multe atacuri (cunoscute sub numele de „pastejacking”) online, exploatând această capacitate în detrimentul utilizatorilor neatenți. Implementarea acestui lucru în JavaScript este destul de simplă.
Numai următorul script este integrat pe partea rău intenționată:
27670b8ba9840e688369822a3fcfb2d9
Dacă copiați orice text dintr-o astfel de pagină, șirul nedorit ajunge întotdeauna în clipboard (indiferent de textul copiat în această implementare). În loc de „poruncă malefică” puteți veni acum cu o mulțime de lucruri urâte. Întregul lucru devine fatal dacă se utilizează o întrerupere de linie la sfârșitul liniei pentru a executa imediat codul:
27670b8ba9840e688369822a3fcfb2d9
De asemenea, este ușor să resetați ieșirea consolei, astfel încât utilizatorul să nu observe imediat ce a introdus. De exemplu, este posibil ca atunci când copiați un fragment de cod inofensiv, să vă distrugeți partițiile în trecere.
27670b8ba9840e688369822a3fcfb2d9
Clipboard-ul poate fi manipulat (într-o formă diferită) chiar și fără JavaScript:
27670b8ba9840e688369822a3fcfb2d9
Dacă marcați textul dorit, de exemplu în cel mai recent Firefox (v. 45.0) nu textul ajunge în clipboard, ci textul din spatele lui.
Ambele metode pot fi încercate live aici. Aici varianta JS:
See the Pen Pastejacking #1 by David Vielhuber (@vielhuber) on CodePen.
La fel și varianta CSS:
See the Pen Pastejacking #2 by David Vielhuber (@vielhuber) on CodePen.