Tricks neu aufgelegt: Vorsicht bei Copy&Paste
Mit einem nicht ganz neuen Trick, der derzeit verstärkt wieder kursiert, können Web-Seiten etwa arglosen Linux-Usern, die zu faul zum Tippen sind, Befehle unterjubeln und deren System kapern.
Copy and Paste bedeutet nicht unbedingt, dass man auch wirklich das bekommt, was man sieht. Mit etwas HTML-Magie kann man unvorsichtigen Webseitenbesuchern sogar unbemerkt Shell-Befehle unterjubeln. Der keineswegs neue Trick kursiert derzeit erneut auf Web-Seiten, weshalb insbesondere Linux-Nutzer beim Copy&Paste vorsichtig sein sollten.
Prinzipiell funktioniert der Trick zwar auch mit Mac OS X oder sogar Windows; doch deren Nutzer dürften nicht so leicht dazu zu bewegen sein, ein Kommandozeilenfenster zu öffnen und dort etwas einzugeben. Unter Linux hingegen ist das immer noch eine recht normale Aktion. So enthalten etwa viele Anleitungen zur Installation spezieller Software Befehle wie sudo apt-get install XYZ, die der Anwender auf der Shell einzugeben hat. Der Bequemlichkeit halber kopieren viele Linuxer diese Texte und fügen sie dann in das Terminalfenster ein.
Eine Seite des Browserchecks demonstriert das grundsätzliche Problem. Direkt beim Einfügen einer scheinbar harmlosen Codezeile werden dann Kommandozeilenbefehle mit den Rechten des Anwender ausgeführt. Die könnten etwa all seine Dateien löschen oder übers Netz verschicken.
Siehe dazu auch:
- Copy&Paste-Tricks auf dem heisec-Browsercheck
(ju)
