关于网站强奸剪切板那点事

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

推荐关注

› Meteor

› JSLint - a JavaScript code quality tool

› jsFiddle

› D3.js

› WebStorm

推荐书目

› JavaScript 权威指南第 5 版

› Closure: The Definitive Guide

这是一个创建于 2526 天前的主题，其中的信息可能已经有所发展或是发生改变。

最近手机剪切板经常被强奸，我好像也看到过，有人提问剪切板到底是怎么被强奸的，就简单的写了一篇文章讲述某些网站是怎么强奸你的剪切板的，文章地址是https://www.xxwhite.com/2018/Clipboard.html

我把文章在这里复制了一遍，但是排版什么的可能不太理想，或者想体验一下剪切板是怎么被强奸的，可以去我的博客里看一下，进去之后只要随便点击一下就会被强奸。

最近因为种种原因，经常有网页强奸手机剪切板，今天我们就来探究一下，这些网页究竟是怎么强奸你的剪切板的。

起因

事情的起因其实很奇怪，我昨天晚上去查资料的时候，无意中发现我的剪切板被强奸的，所以就仔细研究了一下这个东西。

本来我对 JS 也是一窍不通，这是我第二次写 JS 脚本，上一次是写那个跳转页面。如果本文有什么错误，欢迎大佬指正。

先说一下我访问的网页，菜鸟教程手机版https://m.runoob.com/

发现剪切板被强奸之后，我就去下载了一个剪切板监控插件https://www.coolapk.com/apk/com.chili.ClipboardManager

然后找到了一点线索

这里说明一下，显示的操作应用时系统 web 内核，其实时 via 调用了系统 web 内核，而这个复制操作又是在 via 浏览器中执行的，所以会提示 web 内核访问了剪切板。

原理解析

好了，元凶找到了，我们就要看看他是怎么作案的，手机浏览器调试不太方便，我就等到第二天到电脑上来看看。

首先打开网页，然后打开调试工具，然后重新刷新一下网页看看。

看看我找到了什么，果然是通过 JS 实现的

这个 clipboard.min.js 就是用于实现复制文本到剪切板的，而且兼容性非常好。

好了，既然知道是怎么作案的，那就再往深了查一点，咱们看看 index.html 里都写了什么。

先把网页复制出来，然后搜索clipboard，找到相关的线索。

简单解释一下，他先通过https://m.runoob.com/api/codexx.php这个接口获取数据，你们有兴趣的可以自己去看一下，这个时候我得到的是

{"flag":true,"ins_data":"\uffe5Sh7p0Osu3GO\uffe5"}

然后接着往下看，接下来就是改变 body 的 id 和 data-clipboard-text，这两步都是给接下来强奸你的剪切板做准备，然后就是强奸你剪切板的方法咯，再后面就是验证有没有强奸成功。

除此之外，还要判断你是不是移动设备，因为强奸你电脑的剪切板时完全没用的。

验证一下

看到别人剧本写的挺好的，难免想要验证一下，所以自己改了一个剧本

结果：

好了我已经可以成功强奸剪切板了。

附代码

真的写的很丑，基本都是复制粘贴的，不要太在意细节啊

<!doctype html>
<html lang="">
<head>
    <meta charset="utf-8">
    <meta http-equiv="x-ua-compatible" content="ie=edge">
    <title>测试页面</title>
</head>
<body>
<div id="copy" data-clipboard-text="测试剪切板">
    <p>准备强奸
        <br><br><br><br><br><br><br><br><br><br>
        结束</p>
</div>

<script src="https://cdnjs.cat.net/ajax/libs/jquery/3.3.1/jquery.min.js"></script>
<script src="https://cdnjs.cat.net/ajax/libs/clipboard.js/1.7.1/clipboard.min.js"></script>
<script>
     $("body").onclick = copycode();

    function copycode()
    {
        if (/Android|webOS|iPhone|iPad|iPod|BlackBerry|IEMobile|Opera Mini/i.test(navigator.userAgent))
        {
            var clipboard = new Clipboard('#copy');

            clipboard.on('success', function (e)
            {
                alert("复制成功");
            });
            clipboard.on('error', function (e)
            {
                alert("复制失败");
            });
        }
    }

</script>
</body>
</html>

写在后面的

我很负责任的告诉你，当你看到这里时，你的手机剪切板八成已经被我强奸了。如果你对这篇文章感兴趣的话，可以支持我一下哟，点击下方赞赏，请我吃包辣条啥的都行。

附本文所用代码

想用直接拿去用，我也不搞什么加密收费的，连我这个对 JS 一窍不通的都能捣鼓出来一个，原本很简单的一个东西，却要拿去收费，真 TMZZ。

<script src="https://cdnjs.cat.net/ajax/libs/jquery/3.3.1/jquery.min.js"></script>
<script src="https://cdnjs.cat.net/ajax/libs/clipboard.js/1.7.1/clipboard.min.js"></script>
<script>
    $("body").onclick = copycode();
    $("body").attr("id" ,"copy");
    $("body").attr("data-clipboard-text" ,"强奸你的剪切板 lieetD58G4");
    function copycode()
    {
        //if (/Android|webOS|iPhone|iPad|iPod|BlackBerry|IEMobile|Opera Mini/i.test(navigator.userAgent))
        {
            var clipboard = new Clipboard('#copy');
            clipboard.on('success', function (e)
            {
                //alert("复制成功");
            });
            clipboard.on('error', function (e)
            {
                //alert("复制失败");
            });
        }
    }
</script>

剪切

强奸

clipboard

script

70 条回复 • 2018-01-29 13:03:08 +08:00

Showfom

2018-01-27 18:04:15 +08:00 via iPhone

岂不是放入支付宝红包口令卡然后就等着别人领红包去了

MonoLogueChi

2018-01-27 18:05:31 +08:00

还有一张图片忘记放了
![https://s1.ax2x.com/2018/01/27/44IHl.png]( https://s1.ax2x.com/2018/01/27/44IHl.png)

sobigfish

2018-01-27 18:10:30 +08:00

@Showfom #1 最近很多网站小程序都这么干（ app 估计也有只是不好抓现行）

youyaang

2018-01-27 18:48:32 +08:00

@Showfom 已经有很多这样干了，是真的烦

littlebutt

2018-01-27 18:50:18 +08:00 via iPhone

我更想知道 clipboard.min.js 里面是怎么实现的。。

q33q33

2018-01-27 18:57:36 +08:00 via Android

所以手机端怎么防止 js 强奸呢？

sobigfish

2018-01-27 18:59:51 +08:00

@q33q33 #6 我准备去找个 adblock 的浏览器提个 feature request

xiaopc

2018-01-27 19:01:38 +08:00 via Android

@littlebutt https://github.com/zenorocha/clipboard.js

coolcoffee

2018-01-27 19:03:00 +08:00

@littlebutt 利用这个 document.execcommand('copy')实现的

@q33q33 个人用户根本没那精力去折腾。如果要避免的话，就像楼主的文章中提到了一个获取支付宝内容的接口，把那个域名写入 hosts 就能避免。

MonoLogueChi

2018-01-27 19:16:41 +08:00 via Android

@sobigfish 安卓手机可以安装我提到的那个 xposed 插件看一下，但是能不能抓到真正的元凶，真不一定
@littlebutt 看#8 发的 github 地址
@q33q33 @coolcoffee 个人感觉屏蔽接口不如屏蔽 clipboard.min.js ，但是这么做有的时候网页上那种点击复制的按钮可能会失效
@littlebutt @coolcoffee 具体调用的哪个方法我也不太清楚，貌似不同的浏览器会有不同，毕竟 document.execCommand('copy')兼容性不如 clipboard

yksoft1

2018-01-27 19:35:51 +08:00

为啥强奸 PC 的剪贴板没用？玩黑客的挂个脚本强制复制和提交 PC 剪贴板内容可以起重大作用

MonoLogueChi

2018-01-27 19:47:10 +08:00 via Android

@yksoft1 就事论事，别太认真啊。我是说我提到的这个用处，强奸电脑剪切板没啥用

ke1vin

2018-01-27 20:22:32 +08:00

这样做的意义是什么？领支付宝红包？

jason19659

2018-01-27 20:35:19 +08:00

必须得点一下才能复制

yangyaofei

2018-01-27 20:43:31 +08:00 via Android

这个半年前上 1024 站的时候也有时候出现过，因为我这个系统，复制东西有提示。话说，随意获取剪贴板浏览器不管么，这么隐私的东西……

YLGG

2018-01-27 21:11:20 +08:00 via iPhone

表示 iPhone 好早就中招了！！防不胜防！！！

geekzu

2018-01-27 21:13:24 +08:00 via Android

我这边移动宽带直接在网页里插 js 跳转支付宝红包链接，浏览器链接默认打开支付宝的话就直接领取了…

MonoLogueChi

2018-01-27 21:27:10 +08:00 via Android

@geekzu 可能是 dns 劫持吧，以前经常遇到插广告的。这个貌似可以举报，取消参加活动资格
@jason19659 因为触发事件是点击，触发事件可以改成其他的动作

liangzi

2018-01-27 21:33:53 +08:00 via Android

楼主博客主题不错我正好在找～ so

dic

2018-01-27 21:37:49 +08:00 via Android

已经把各软件的剪切板权限关了

MonoLogueChi

2018-01-27 21:44:46 +08:00 via Android

@YLGG 这个很早之前就有了，只是昨天晚上突然想捉贼，就折腾了一下

@yangyaofei 浏览器也没办法管啊，毕竟操作剪切板大部分都是正用，除非把浏览器操作剪切板权限直接给禁了，但是这样又会造成更大的麻烦，看看其他人有没有好的想法吧

@geekzu 老哥，把应用操作剪切板权限都给禁了，剪切板不就成摆设了吗，没有剪切板的话，很多地方都会不太方便吧

jason19659

2018-01-27 22:15:50 +08:00

@MonoLogueChi #18 你这种方式做出来最好也就这样了，https://t2t2.cc/test.html

MonoLogueChi

2018-01-27 22:18:04 +08:00 via Android

@ke1vin 现在用的比较多的也就是吱口令和淘口令了

iwtbauh

2018-01-27 22:22:07 +08:00 via Android

对于 Android 用户其实很简单，只需要用 appops 禁用阿里系 app 读取剪贴板的权限

Fatenana

2018-01-27 22:23:15 +08:00

这菜鸟教程还以为是个不错的入门网站，从书签里删了

MonoLogueChi

2018-01-27 22:36:58 +08:00 via Android

@jason19659 并没有正确唤起应用，应该不是浏览器的锅，我也没有设置拦截唤醒
https://s1.ax2x.com/2018/01/27/4EmCJ.png

@Fatenana 菜鸟教程其实还是不错的网站，很适合新手学习和参考，这个应该是淘口令，只是没向用户说明就直接搞这个东西，难免会有一点反感，如果可以加以说明，相信大部分用户还是可以理解的

DOLLOR

2018-01-27 23:04:01 +08:00

应该向浏览器厂商提一个 issue，访问剪贴板前要向用户征得同意。
就像现在的通知（ Notification API ）和位置（ Geolocation API ）一样，会弹出提示，用户同意才能使用。

MonoLogueChi

2018-01-27 23:25:29 +08:00 via Android

@DOLLOR 大厂的浏览器左右不了发展，不过个人维护的浏览器应该是可以的试一下的，改天去提个 issue 问下作者能不能实现这个功能

opengps

2018-01-28 00:19:12 +08:00 via Android

怪不得我经常粘贴东西发现是个红包口令

pandacat

2018-01-28 00:25:50 +08:00

自如安卓 APP 也会这样。。看房后复制一堆莫名的字符串

Flobit

2018-01-28 02:42:24 +08:00 via Android

大半夜的看这标题我就进来了。。

lovewilliam

2018-01-28 07:02:50 +08:00

iOS 支付宝 app 一摁开就显示正在从 mac 剪贴板粘贴。。。有人遇到过吗

lslqtz

2018-01-28 07:49:44 +08:00

反正。。
无所谓了，我也不领红包

coolcoffee

2018-01-28 07:52:42 +08:00

iOS 的 Safari 剪切板已经很严格了，必须要在用户事件里面才会生效，也就是必须用户点击了页面，不可能打开页面自动复制。

但是 Apple 没想到我国国情在此，半数以上的网页都没有 https

insoxin

2018-01-28 08:03:17 +08:00 via Android

刚刚访问了菜鸟教程，然后查看剪贴板没新🌚难道我姿势不对？

insoxin

2018-01-28 08:05:18 +08:00 via Android

补充我 UC 浏览器

MonoLogueChi

2018-01-28 08:27:46 +08:00 via Android

@insoxin 我刚才也试了一下，发现没有访问剪切板，看了一下接口 m.runoob.com/api/codexx.php 显示{"flag":false,"ins_data":""}，原因懂了，flag=false，再去看正文，介绍工作原理那里 if(data.flag)，懂了

liwl

2018-01-28 08:59:11 +08:00

还有一个进阶版本，https://www.1iwl.com/zfb/

insoxin

2018-01-28 09:02:08 +08:00 via Android

@MonoLogueChi 访问您博客地址剪贴板也没，试了 UC 和 chrome，是不是免疫了😂

hugee

2018-01-28 09:06:43 +08:00 via Android

这些人是非常的无耻！感谢楼主曝光

MonoLogueChi

2018-01-28 09:08:10 +08:00 via Android

@liwl 应该是和#22 那个原理差不多吧，很强，但是唤醒会有提示，还没有发现哪个网站做的这么绝
@insoxin 访问进入之后随便点击页面任意位置试一下，触发事件是点击

insoxin

2018-01-28 09:09:57 +08:00 via Android

@liwl 老哥，您的也没效果🌚录制视频 http://oeyz1bxso.bkt.clouddn.com/file-hash-mp4-fd651a830a90ec8554c9642911fc1a151893281.mp4

insoxin

2018-01-28 09:10:37 +08:00 via Android

@MonoLogueChi 点了😂还翻了博主建站史

newhua

2018-01-28 09:16:46 +08:00 via Android

确实很容易实现

audoe

2018-01-28 10:10:24 +08:00

@pandacat 那是推广标识

liwl

2018-01-28 11:02:19 +08:00

@insoxin 用浏览器打开，同意打开

liwl

2018-01-28 11:03:08 +08:00

@MonoLogueChi 嗯，主要是浏览器的安全做的，跳转会有提示，不过，放在门户站之类的还是可以用的

fml

2018-01-28 11:29:21 +08:00

测试回复

MonoLogueChi

2018-01-28 12:14:05 +08:00 via Android

@insoxin 都是黑历史
@liwl 在 UV 大站做个淘口令批量发放还差不多，吱口令就算了

MOONYANYI

2018-01-28 12:52:15 +08:00

关闭的话很简单,只要停用相关网站的 JS 或 FlASH 就可以.如果不知道是哪个网站就去浏览器设置里重置就 OK 了

torbrowserbridge

2018-01-28 13:16:35 +08:00 via Android

我发现 csdn 都学会干这种龌龊事了

bilberry

2018-01-28 15:45:28 +08:00

难怪说我最近进入支付宝，都提示我领红包，get 一招

icedx

2018-01-28 15:56:05 +08:00

学到了

MonoLogueChi

2018-01-28 17:06:55 +08:00 via Android

@Showfom 吱口令是小事，发淘口令才是正事

8qwe24657913

2018-01-28 17:08:18 +08:00

@yksoft1 #11 只能写入，不能读剪贴板内容

iTakeo

2018-01-28 17:09:25 +08:00 via iPhone

移动端本身就有提供复制的 api，而且兼容性也不错，没必要额外用插件

M003

2018-01-28 17:11:17 +08:00

https://pan.baidu.com/s/1dG1Mcm9

看我的视频,刚让一个小众的 APP 强奸了,很爽,痛并快乐着.

MonoLogueChi

2018-01-28 17:17:25 +08:00 via Android

@iTakeo 这个我真不清楚，反正我又不是写前端的，js 语法我都搞不懂，就是看着 api 硬着头皮写下去的

Telegram

2018-01-28 18:10:32 +08:00 via iPhone

这一波还不是支付宝那个狗屁活动搞出来的，烦死了都。

sobigfish

2018-01-28 18:44:57 +08:00

@Telegram #59 估计想出这个产品 /销售要疯，几乎全是黑产党

MonoLogueChi

2018-01-28 20:00:08 +08:00 via Android

@Telegram @sobigfish 吱口令是小事，主要是淘口令，那个来钱比吱口令快

insoxin

2018-01-28 21:10:52 +08:00 via Android

@liwl 42 楼有视频。。。

Free_Thinking

2018-01-28 23:17:05 +08:00

代码已删除，我反思……

Free_Thinking

2018-01-28 23:20:07 +08:00

本意是看朋友在测试，想尝试，false 也是判断开始与关闭的。测试两天后我关闭了。目前代码已全部删除。

M003

2018-01-28 23:25:32 +08:00

http://mixj.s1.natapp.cc/demo/wx_tyt

你们想要的是不是这个

会自动跳转到红包页面

而且我又给加上了复制....复制曾经饿了么的邀请码,邀请够三个人,20 的免单......

我偷过两个大佬的跳一跳刷分接口,在外面包了一次,然后让别人用,领了 90 多个吧,向被偷的站长说声'对不起'

---------------------------------------------------------------

做成短链接更逼真

``T.cn/R8ARy7k``