Brian Tracy - copy-paste-shell

Don't Copy Paste Into A ShellWhen you see a shell command on the Internet, do not copy it into your terminal. Modern JavaScript Clipboard APIs allow a website to trivially overwrite what you put inside your clipboard, without the user's confirmation or permission. Here is an example of how easy it is to perform this attack. Imagine that the red text below is a shell command you want to use. Below

[vanbraam]

仕事柄こういうもののコピペを使うことも多いので,気をつけないと……

[yujiorama]

Clipboard API は確認無しにデータを仕込めるので Web ページのシェルスクリプトを考え無しにコピーペーストするのは危険

[yarumato]

JSオフにしてると大丈夫だな。　これを機に、技術系サイトはJSなしでも閲覧できるようにしてほしいところ

[takc923]

なるほどー。面白い。

[tarotheripper]

"curl hoge.example.com | sh" みたいなやつ、READMEに書いてあって楽だからついコピペでやってしまいがち

[kamocyc]

言われてみれば確かにこういう事は起こるのは当たり前だけど、ついコピーしてしまう。

[Krouton]

“$ echo "looks safe to me!"” をコピーしたら違う文字になった、こういうexploitがあるんだなぁ

[tofu-kun]

これ前にも指摘されてたけど忘れてた…怖い

[ngyuki]

なるほど、Clipboard API を使って見えているものとは別の物をコピペされることができる

[mattn]

良く考えるとブログに載ってる様なコマンド実行手順のコピペって危ないよね。

[jay-es]

Webサイトに載っているコマンドをシェルにコピペするのは危険。JSのClipboard APIで別のコマンドがコピーされている可能性がある

[efcl]

Clipboard APIを使って、コピー時に別のコマンドをコピーさせる攻撃方法