Pozor na kopírování textů z webových stránek

Na AbcLinuxu již bylo několikrát diskutováno. Neuškodí si ale připomenout. Kopírování příkazů z webových stránek může být hodně nebezpečné. Nebezpečné ale může být i kopírování textů do editorů vim, nano nebo emacs. V kopírovaných textech se mohou nacházet řídící sekvence editorů a příkazy, které mohou být provedeny [reddit].

6.3.2018 05:22 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Rad]

jo, je to nebezpecny.

pak jsem kdesi cetl (tusim v nejake napovede), ze nebezpecna je taky prace s nuzkama, clovek se muze dokonce zranit!

[mica]

pak jsem kdesi cetl (tusim v nejake napovede), ze nebezpecna je taky prace s nuzkama, clovek se muze dokonce zranit!

Jo, to se píše v manuálové stránce k nůžkám.

[Rad]

takovy navod jsem jeste necetl.

ale to bylo (tusim) helper k MS Word (ale uz nevom ktera verze, asi pod W95 - Mr. Spinka)

[pushkin]

Jo, a taky není dobré na pleť pojmenovat si flashku "rm -rf ~" a používat jí pod KDE

To fakt funguje?

[Ladislav Hagara]

Bezpečnostní chyby v KDE Plasma

Díky.

PS: Kde jsou moje soubory

[Petr Ježek]

Kdo nic neví, všeho se odváží...

[x14]

Přidávám pro pobavení jednu trapnou historku.

Měl jsem flashku, která se divně chovala. Někde radili ji celou přepsat nulami pomocí

sudo dd if=/dev/zero of=/dev/sdb

A modří už asi tuší... Dal jsem ten příkaz do schránky a kolečkem hodil do terminálu s tím, že opravím to písmenko a odpálím to. Jenže já vůl nějakým způsobem dostal do schránky i [CR/LF] a sudo bylo ještě teplé... Brejkl jsem to mezi první a druhou sekundou s adrenalinem v infarktových hodnotách.

Tímto žádám všechny, kteří někde něco radí, aby kvůli nám blbcům všude v příkladech psali disky jako sdX. Děkuji

[Grunt]

Já zas jednou kompiloval cosi v Buildrootu (už nevím jestli pro ARM nebo pro MIPS) a samozřejmě jsem se přihlásil pod roota, chtěl jsem to někam nainstalovat pomocí prefixu a omylem jsem to překlopil do /. Dodám že tam byly základní utility v /bin a /usr/bin a všechny binárky pro non-x86 systém a make install se neptal jestli má něco přepsat. Pomocí kluků z Redhatu se mi nicméně podařilo (RPM databáze má uložené hashe souborů které má pod správou balíčkovací systém) obnovit jednotlivé přepsané soubory a systém nějak (sice nic moc ale nějak jo) fungoval.

Několikrát jsem přemýšlel nad tím jak zajistit aby až na pár adresářů ve kterých nemám moc ztratit byl celý root namountovaný v RO režimu s tím že bych ho odemykal jen když bych updatoval či něco instaloval.

Jsem dřevo gramlavé. Mně do ruk žádný produkční systém nepatří. To výstraha do budoucna pro někoho kdo by chtěl využít mých služeb.

[pc2005]

Jo takový věci se mě staly párkrát taky . Ale buildroot pod rootem jinak funguje OK, crosstool-ng ne (ale já kompiluju kompilátor mimo buildroot).

[Rad]

jo to pomuze, jenom se nesmi pouzivat usb hub, ktery trpi kontaktni vadou.

to jsem tak jednou prenasel image na flasku - oberil jsem si ktere je to pismenko, opravil prikaz v cli ... a odpalil.

a pak jsem se divil, ze flaska obsahuje to co predtim, jenom misto 1TB disku mam jakesi pidizarizeni.

a duvod? hub se odpojil a vzapeti pripojil: vsechno ok, jenom poprehazoval pripojena zarizeni. to potesi :)

[jiwopene]

Já si napíšu # před vložením nebo napsáním "nebezpečných" příkazů.

[Jendа]

To neřeší příkaz na víc řádek.

Nejlepší je udělat xclip -out.

[Aleš Janda]

Přijde mi to jako chyba konzole. Konzole by neměla povolit zkopírovat znak odřádkování (a řídící znaky vůbec), respektive by před vložením měla vyžadovat potvrzení.

[Petr]

Takze kvuli zacatecnikum pridame do rm dotaz jestli je si uzivatel akutecne jist tim co dela? Nebo u dd budeme pro jistotu vyzadovat 5x potvrzeni treba vypoctem nahodneho scitani? Konzole dela to co ma, vkladani vlozi vse vcetne radkovani a kdyby to melo byt jinak, tak budu pouzivat konzoli co to dela presne tkhle, protoze mi to ulehcuje praci.

[Aleš Janda]

Tak jinak – konzole by měla umožňovat vkládat ze schránky, bez spuštění kódu. Teď to není možné, nijak. Jedině to stripnout někde vedle, znovu zkopírovat a pak až dát do konzole (a modlit se, aby mi nějaký virus mezi stripnutím a vložením do konzole do té stránky nedal něco jiného). Díky skrytým prvkům na stránce a JavaScriptu ten mezikrok s textovým souborem někde vedle je v podstatě nutný v každém případě – není možné napadené stránce zabránit v tom, aby při kopírování vkládala nečekané znaky.

Tohle je principiálně špatně. To nemá dobré řešení.

To je jako kdybych psal C++ kód, a když zmáčknu enter, hned se ten kód přeloží a spustí. Nechci ho spustit nikdy, určitě ne vložením ze schránky, nebo jen ve výjimečných případech.

Ale tak prostě konzole nebyla navržena pro bezpečnost, nejen kvůli tomuhle. Dřív byla jiná doba, proti tomu nic. Jen škoda, že v podstatě není žádná jiná alternativa.

[Petr]

Ja si vzdy u kopirovani z webu otevru prazdny textak (bez formatu), do nej nakopiruji co potrebuji, upravim to a pak to kopiruji do konzole. Pokud je toho vice, kopiruji to po castech. Kdyz jsem byl mladsi, nezkusenejsi, kopiroval jsem klidne xx radku do konzole. Jedno smazani dokumentu v home me poucilo. Presto si neumim predstavit ze bych skopiroval treba 10 prikazu a musel je one by one potvrzovat. Alternativa je vytvorit skript, ale ve srovnani s rychlosti paste je to marne.

[trekker.dk]

Ano, pokud chcete spouštět potenciálně nebezpečný kód - což ctrl-c příkazy zkopírované z nějakého webu jsou - tak k tomu holt musíte přístupovat opatrně. Na tom není žádné překvapení a nic, co byste mohl vysvětlovat nesmysly typu "konzole nebyla navržena pro bezpečnost". Konzole je navržená pro spouštění příkazů zadaných uživatelem a dělá přesně to.

Co do ní zadáte, to je jenom vaše zodpovědnost.

[koroptev]

ktera konzole? emulator terminalu ktere uz desitky let neexistuji a ktery ocekava nejake divne ridici znaky aby hejbl kurzorem napr nebo ta gui aplikace napsana v gui toolkitu vzniklem o desitky let pozdeji ktera presstira ze je ten terminal a ktera rozhodne disponuje vecmi ktere ten temrinal nikdy nemel (jako napr moznost paste z weboveho prohlizece)?

[Aleš Janda]

pokud chcete spouštět potenciálně nebezpečný kód - což ctrl-c příkazy zkopírované z nějakého webu jsou

To je právě to, že vidím velký rozdíl mezi vložením a spuštěním. Vložit chci, spustit nechci. Není metoda, jak vložit bez spuštění.

Vkládání do konzole nebezpečné je, protože nefunguje jako vkládání textu, ale vkládání klávesy, které se mají jakoby zmáčknout a provést. Kdyby to stejně fungovalo i jinde a já při banálním zkopírování slova omylem vzal i řídící znaky třeba pro Ctrl+Alt+F1 a potom Ctrl+Alt+Del, restartoval by se mi počítač (naštěstí v konzoli až takové řídící znaky nejsou). A tak dále. Jistě, dal by se najít příklad, kdy by takové kopírování s restartem bylo užitečné, ale ve většině případů je to naopak nežádoucí.

Stejně třeba jako kdyby třeba JavaScript normálně z webových stránek dokázal číst soubory na lokálním disku (tak jako to kdysi dávno umělo IE přes VBScript). Také by se to občas hodilo, ale v drtivé většině případů by to byla díra jak prase a každej by to chtěl vypnout.

Bohužel z toho důvodu, že konzole neumí vkládat, ale pouze interpretovat, je nebezpečné do jakýchkoli programů v konzoli běžících. O tom je ostatně ta zprávička. Jasně, můžeme se tvářit, že je to vlastnost, ale na h***o to je. Před 40 lety, když se kopírovalo maximálně z BBSky také z textového rozhraní, to asi moc nevadilo, možná naopak. Dnes to ale vadí řádově víc.

[trekker.dk]

Jak komu. Já s tím, že konzole interpretuje znaky/klávesy tak, jak je dostala, problém nemám a rád to využívám.

[chrono]

Toto normálne rieši shell (napr. v zsh je štandardne povolené zle_bracketed_paste, to isté podporuje aj bash 4.4+ s readline 7.0+, štandardne je to ale vypnuté).

[Jendа]

Mám pocit, že „správné“ kombinace webových prohlížečů a terminálů uměly přes schránky přenést i ten escape znak, který značí konec paste.

[disorder]

bracketed paste mode to mozno riesi

[koroptev]

rm tam ten dotaz ma i kdyz je primo explicitne v parametrech uvedeno co se po tom rm chce

neviditelny znak pritomny v bufferu lze obtizne pokladat za chtene explicitni vyzadani obzvlast pri interaktivnim pouziti

[Jendа]

Nemá, rm soubor i rm -r adresář mažou bez ptaní. Používáš distribuci, která tam pomocí aliasů vkládá -i (např. redhaty).

[koroptev]

a proc proboha to ten redhat dela? to ma tak spatne mineni o svych uzivatelich?

[trekker.dk]

Akorát - jako v každém případě, kdy něco vyžaduje takovéhle potvrzení - skončíte s tím, že uživatel to potvrzení odklepne zcela automaticky.

[koroptev]

neni preci problem mit jako default paste kde mi to vsechny takoveto znaky oteze/zkonvertuje na mezeru napr a v menu druhou akci s nazvem "paste raw"..

[Martin Mareš]

Ne nutně. Já mám své urxvt nastavené tak, že vyžaduje potvrzení, pokud vkládaný text obsahuje newline. Jelikož v naprosté většině případů neobsahuje, nejsem zvyklý nic automaticky odklepávat.

[marbu]

Díky za tip. To confirm-pase rožšíření vypadá moc pěkně (viz man urxvt-extensions).

[pc2005]

Hmm to zase ne, já často kopíruju shell snippety do konzole a kdybych měl v tom bloku každej potvrzovat ... :-/

[:::]

+1

pokud gui aplikace ktera emuluje terminal bez zeptani spusti neco zkopirovane ze schranky jenom proto ze je tam nekde \n tak by autori zaslouzili naliskat

totez jestli tohle delaji editory...

[pushkin]

No, ono by se nic nestalo, kdyby schránka \n sama filtrovala - viz třeba zkopírování textu z PDF do LO.

[jbohac]

funguje to někomu? když jsem to četl, tak mě polilo horko, ale ať to zkouším, jak to zkouším, naštěsti mi to nefunguje.

Ani z chromia ani z firefoxu. Ani do xterm, ani do urxvt, ani do konsole.

(plusmínus aktuální opensuse tumbleweed)

[ik]

V X11 používám LilyTerm a ten se při vkládání ptá, zda má clipboard pastnout jak je, nebo spojit řádky. Naproti tomu zmíněný postup, nastavení readline proměnné "set enable-bracketed-paste On" mi nějak nezabírá.

[Andrej]

Editory, které jsou navržené pro komunikaci stroje se strojem, nikoliv člověka se strojem, jsou samozřejmě náchylné ke kritickým chybám tohoto druhu. Na tom není nic překvapivého. Protože si hrají na programovací jazyk s interpretem, dovedou ze schránky dostat instrukce, jaké by slušně vychovaný editor přijímal jedině pomocí klávesových zkratek, které skrz schránku přenášet nelze, případně pomocí jiného typu uživatelského rozhraní, nezávislého na vstupu z "terminálu".

[Kate]

No, omyl. Koukni se na příklad útoku přes nano. Tam je to dělané přímo přes klávesové zkratky.

[Mintaka]

Na problémy s EOL může pomoci stará dobrá technika. Otevření editoru pro editaci příkazu, a vložení obsahu tam.

Běžně se aktivuje pomocí dvojice klávesových zkratek.

Ctrl+x Ctrl+e

Jaký editor se použije je definováno env proměnnými EDITOR případně VISUAL

Obecně ale proti neopatrnosti a smůle neexistuje univerzální pomoc.