Краткая цитата из статьи«Старые трюки снова актуальны: опасное копирование и вставка»на сайте H Security:
Копирование и вставка чего-либо не обязательно означает, что пользователь получит то, что он думает получить. С небольшой долей HTML-магии можно даже обмануть ничего не подозревающих посетителей веб-сайта, заставив их выполнить команды оболочки без их ведома. Этот трюк отнюдь не нов, но в настоящее время он снова демонстрируется на нескольких веб-сайтах, что означает, что пользователи Linux должны быть особенно осторожны с тем, что они копируют и вставляют.
Как пользователи Ubuntu 12.10 могут решить эту проблему?
решение1
Несколько простых способов избежать этой проблемы:
Выберите (перетащите мышь) только тот текст, который вы видите. Если он находится в нескольких строках, не перетаскивайте мышь вниз, чтобы выделить все строки. Вместо этого выберите каждую строку, одну за другой, и выберите только тот текст, который вы действительно видите. Конечно, это не всегда работает (на самом деле, как упоминает Часкес и показывает предоставленная ссылка, он все равно будет нести с собой вредоносный код). Вам все равно придется сначала скопировать/вставить содержимое в текстовый файл.
Другой более быстрый способ — это сделать Rambo на тексте и просто выделить его целиком. Затем вставить,
geditнапример, это. Там вы сможете увидеть, содержит ли он что-нибудь подозрительное.Хороший трюк для обнаружения такого рода вредоносных кодов — дважды щелкнуть по нему. Когда вы дважды щелкаете по некоторым из этих типов скрытых кодов, выбираемая часть становится выделенной. Я могу показать что-то, что выглядит просто неправильно. Например, вот 2 случая, связанных с одной и той же статьей:
В этом случае я дважды щелкнул полсчасть. Я бы предположил, как обычный пользователь, что он бы выделил всю строку, но вместо этого сделал выше. Это показывает, чтолси остальная часть строки кода НЕ находится на том же самом элементе HTML, давая вам подсказку, что с HTML что-то не так. Это может быть неправильный тег или злой умысел.
В этом вы можете видеть, что выделенная часть продолжает двигаться вправо, и хотя в этом случае, если вы вставите код копирования в gedit, он покажет правильную информацию, это еще один способ использования вредоносного кода. Код может быть скрыт справа, и при двойном щелчке по нему, даже если вы его не видите, выделенная часть все равно его займет (например, изменение меню справа на значение z-index выше, чем у остальных, и в довершение всего, положение, которое гарантирует, что все выглядит «хорошо»).
Ни в одном из этих случаев двойной щелчок по коду не давал вам фактическую строку. Я также хочу добавить, что если вы дважды щелкните и он выделит всю строку, как во втором примере, это может быть неплохой вещью на некоторых сайтах. Сайт мог бы обработать выбранную область как всю строку, а не выделять только текст, как показано в следующем примере:
Как видите, я дважды щелкнул по команде, но она выделила всю строку. Да, за этим может стоять какой-то вредоносный код, но поскольку сайт доверенный, это снижает вероятность такого (все равно, чтобы убедиться, вставьте содержимое в текстовый редактор).
Чего на самом деле НЕ должно быть, так это выбора половины кода, а затем выполнения того, что было сделано на первом опубликованном мной изображении, а именно перехода в конец страницы без «видимой причины» вместо выбора всей строки, где она находится.
Это очень легко осуществить, но также легко и вовсе избежать.
В моем случае, если текст довольно длинный (и я доверяю сайту, с которого его копирую), то я помещаю его в gedit.
решение2
Самый простой способ, вероятно, сначала вставить текст в простой текстовый редактор, такой как Gedit. Я выработал эту привычку как способ убрать окружающее веб-форматирование или объекты, которые иногда копируются случайно, но это также позволит вам увидеть все, что вы скопировали.
Вы также можете щелкнуть правой кнопкой мыши по документу в браузере и просмотреть исходный код страницы, чтобы увидеть, что там на самом деле находится.