Copy & Paste im Netz ist eine ganz schlechte Idee
Kürzlich bin ich über einen Bericht gestolpert, der an einem einfachen Beispiel verdeutlichte, wie man sich auf Webseiten mit Copy & Paste von einfachem Text Schadsoftware einfangen kann.
Betroffen sind in erster Linie Administratoren und Programmierer, die im Netz auf der Suche nach Codeschnipsel sind. Wie z.B. für ein Shellscript oder auch PHP, oder ähnliche Sprachen.
Mal angenommen, Sie möchten sich über die Konsole eine Textdatei herunterladen, die Ihnen in einem harmlos aussehenden Blog angeboten wird. Damit Sie nicht viel abtippen müssen, stellt der Autor gleich den Link mit samt passenden Befehl in einer Codebox bereit:
wget Hätten Sie das kopierte WGET https://interfile.de/irgendein-toller-text.txt in das Terminal Ihres Servers kopiert, dann hätte ich anstelle dieser Worte auf Ihrem Server x-beliebigen Code ausführen können, ohne dass Sie irgendetwas dagegen hätten tun könnten. https://interfile.de/irgendein-toller-text.txt
Markieren und kopieren Sie den Inhalt aus der Codebox und fügen Sie ihn in einem einfachen Texteditor ein. Und? Überrascht?
Verantwortlich ist das STYLE-Attribut im SPAN-Element
<span style=“position: absolute; left: -100px; top: -100px;“>
Der versteckte Text oder Konsolenbefehl sind deshalb nicht sichtbar, weil der Wert des SPAN-Elements mit dem STYLE-Attribut einfach aus dem Sichtfeld des Browsers geschoben wird. Nämlich 100 Pixel nach oben und 100 Pixel nach links. Das Position-Attribut „absolute“ sorgt letztlich dafür, dass der Text quasi oben links „über“ dem Monitor bleibt.
Weil das SPAN-Element aber im sichtbaren Text platziert wurde, wird beim Markieren auch der Wert des SPAN-Elements mit markiert und landet damit ebenfalls in der Zwischenablage.
Der relevante Teil sieht dann so aus:
wget <span style=“position: absolute; left: -100px; top: -100px;“>Hätten Sie das kopierte WGET https://interfile.de/irgendein-toller-text.txt in das Terminal Ihres Servers kopiert, dann hätte ich anstelle dieser Worte auf Ihrem Server x-beliebigen Code ausführen können, ohne dass Sie irgendetwas dagegen hätten tun könnten. </span> https://interfile.de/irgendein-toller-text.txt
Es kann aber auch Vorteile haben
So lässt sich dieses Verfahren auch nutzen, um seine Produktbeschreibungen vor Textdieben zu schützen, die sich mittels Copy & Paste aus dem Netz ihre eigenen Seiten zusammenklicken. Immerhin ist Content-Klau ein weit verbreitetes Phänomen. Das ganze funktioniert nämlich auch mitten im Text. So könnten Textdiebe mit etwas Glück unbewusst Werbung für die eigene Website machen. „Klauen“ Sie einfach mal folgenden Absatz und fügen Sie ihn gerne auf Ihrer Webseite ein. Wir freuen uns über jede Form von Werbung:
>>> Sie haben Schwierigkeiten mit Ihrer Webseite oder Ihrem Onlineshop? Wir von <a href=”https://interfile.de”>iNTERFILE Datenrettung und Service </a> können Ihnen bei fast jedem Problem helfen.