¡Vd. usa un navegador obsoleto!

Es posible que la página no se visualice correctamente.

Aguafiestas

Незваные гости

Otras ediciones de este tema (68)
  • añadir a favoritos
    Añadir a marcadores

Ctrl + C, Ctrl +V=amenaza

Consultas: 322 Comentarios: 5 Ranking: 8

De vez en cuando cada uno de nosotros copia algún fragmento de textos de algún sitio web o documento. Pero ya hemos informado de que hacer clics sobre los enlaces de sitios web no es seguro, рorque en realidad al hacer este clic se puede ejecutar otro comando. Pero ahora resulta que copiar un texto sencillo resulta peligroso.

Un nuevo ataque suplanta los datos con JavaScript, al supervisar el evento de copiar de la ventana actual del navegador al portapapeles, al detectar Ctrl+C, el script espera unos 800 milisegundos y añade los datos extra al portapapeles. Así mismo, el navegador no le solicita al usuario la confirmación del cambio del portapapeles, y la línea copiada corresponde en HTML a la línea de la pantalla.

https://www.opennet.ru/opennews/art.shtml?num=44481

Todos saben que los sitios web pueden supervisar (e intentar bloquear) los intentos de copiar la información. Pero la misma funcionalidad puede ser usada también para añadir información extra al portapapeles. En particular, eso hacen muchos sitios web al añadir la dirección de la página al texto copiado. Y si se puede añadir la información no nociva, también se puede añadir algo nocivo al portapapeles. Y Vd. no lo notará.

Para ocular la información, pueden usarse los caracteres especiales. Un ejemplo de la utilidad vim conocida para usuarios de UNIX.

En un ejemplo demo se ofrece copiar la línea de la ventana del navegador al portapapeles (seleccionar y hacer clic sobre Ctrl+C):

echo "not evil"

al insertar la cual al terminal se visualizará otra secuencia:

echo "evil"\n

Para ocultar el texto visualizado no necesario, se puede usar el comando "clear" o "echo -ne '\033[1F\033[2K'", por ejemplo, en este ejemplo se ejecutará:

touch ~/.evil
clear
echo "not evil"

Es decir, usando los comandos administrativos en el texto añadido, un malintencionado puede suplantar su texto al texto necesario para él mismo.

Hay muchas variantes de este ataque. Por ejemplo, muchos usan el sistema git para guardar los textos fuente de programas. Se puede trabajar con este sistema a través del sitio web.

Fue publicado un método de ocultar las partes del código al visualizar los cambios con el comando "git diff" frecuentemente usado para investigar los parches enviados. Al añadir al código una secuencia escape "[8m", el atacante puede hacer invisible una parte al visualizar en la pantalla usando un terminal que soporta los comandos VT100.

#drweb

http://www.opennet.ru/opennews/art.shtml?num=47759

Para los que no se dedican a la informática: el comando de visualización del texto printf debe visualizar la frase "I'm just a stub!", pero visualiza la frase "I'm just a stub! Insert bad backdoor here...!" – una parte del texto no se ve en la pantalla.

Un ejemplo de un ataque del año 2013 que sigue funcionando:

Fue publicada una concepción del ataque basado en demasiada confianza a ejemplos de comandos de varios sitios web vistos al copiar al terminal.

Usando un bloque "span" invisible que se introduce al portapapeles al copiar, se puede organizar la ejecución de comandos aleatorios en vez de un texto sencillo.

https://www.opennet.ru/opennews/art.shtml?num=36619

Vd. mismo puede seguir el enlace indicado, copia la línea que empieza con git clone y ver qué será insertado.

En este caso solo se formatean la página del sitio web, sin JavaScript.

#seguridad

Dr.Web recomienda

  1. Siempre compruebe todo: antes de ejecutar un código o pulsar la teclaе Enter, compruebe qué exactamente fue copiado.
  2. Copie el texto en un archivo de texto sencillo – no en Word y sobre todo no en una línea de comandos (terminal).

Reciba los puntos Dr.Web por valorar la edición (1 voto = 1 punto Dr.Web)

Inicie sesión y obtenga 10 puntos Dr.Web por publicar un enlace a la edición en una red social.

[Twitter]

Por causa de restricciones técnicas de Vkontakye y Facebook, lamentamos no poder ofrecerle los puntos Dr.Web. Pero Vd. puede compartir un enlace a esta edición sin obtener los puntos Dr.Web. Es decir, gratis.

Nos importa su opinión

10 puntos Dr.Web por un comentario el día de emisión de la edición, o 1 punto Dr.Web cualquier otro día. Los comentarios se publican automáticamente y se moderan posteriormente. Normas de comentar noticias Doctor Web.

Para redactar un comentario, debe iniciar sesión para entrar en su cuenta del sitio web Doctor Web. - Si aún no tiene la cuenta, puede crearla.

Comentarios de usuarios

Comentarios a otras ediciones | Mis comentarios