Pastejacking https://github.com/dxa4481/Pastejacking блядь
Browsers now allow developers to automatically add content to a user's clipboard, following certain conditions. Namely, this can only be triggered on browser events. This post details how you can exploit this to trick a user into running commands they didn't want to get ran, and gain code execution. ‎· обнимала лапами свой хвост
echo "not evil" ‎· screamager
так не работает же? ‎· screamager
[...] if you paste into vim, vim macros may be used to exploit you. An example of this can be seen in this demo and below -- copyTextToClipboard('echo "evil"\n \x1b:!cat /etc/passwd\n'); -- This demo echo evil when pasted in terminal, and it will cat the user's /etc/passwd file when pasted into vim. ‎· обнимала лапами свой хвост
у меня echo "evil" вставляется из хрома ‎· обнимала лапами свой хвост
Работает работает. Просто нужен обычный хром, не обвешанный всякими AdBlock/Ghostery и прочей броней. ‎· Буква quail chick
тоже хром, винда, тройной обвес из всякой прайваси машинерии, затонированные в ноль стёкла, подсвеченное дно. раз пять пробовал -- ни разу не получилось echo "evil" ‎· screamager
uBlock не спасает, да, а Ghostery небось может ‎· обнимала лапами свой хвост
ghostery нет, кстати ‎· screamager
работает sad.jpg ‎· wisdom of wombats
главный вывод: дядюшка Скримейджер знает, что делает ‎· обнимала лапами свой хвост
да лана троллить. вообще это же вроде не новость? может это ложное воспоминание, но всякие новостные сайты при копипейсте добавляют что-нибудь типа "скопировано с рбк", или вообще копируют не то ‎· screamager
дада, сайты со словами/аккордами тоже любят takoe. ‎· ממעמקים
Я подозреваю, что можно было добавлять текст в конец, но не изменять копируемый текст. ‎· Буква quail chick
@aivanov: ну так атака-то строится на том что тебе в конец суют \n, потом например :wq! для вима и шелловые команды ‎· screamager
@screamager не, я про сочетание обвесок конкретно. сама функциональность не новость, в шелл я копипаст никогда естественно не делаю, а вот до того, что команду в vim можно загнать, я не допёр (хотя уверен, что ни на одном посещаемом мной сайте закладки на vim нет, гггг) ‎· обнимала лапами свой хвост
А. Я про \n не уловил. Тогда понятнее. Я не подумал, что \n, вставленный из clipboard сразу исполняется или приводит к выпаданию текста в невидимую часть элемента ввода. ‎· Буква quail chick