Facebook пытается блокировать консоль разработчика в браузере Chrome

[@ppiitt123]

Навреное имелось ввиду: «Ctrl + Shift + J»(win) или «Cmd-Alt-J» (mac)

[@Saer]

Странно, мне всегда казалось что F12 удобней.

[@d_mon]

Имеется ввиду переход в саму консоль, а не на последнюю активную вкладку в Developer Tools.

[@Lisio]

Только если смотреть на клавиатуру.

[@andreysmind]

Макбука сейчас под рукой нет, но помнится мне, что там Ф12 не работало по умолчанию.

[@bolk]

На «Маке» F12 переключает на экран виджетов.

[@andreysmind]

дадад, спасибо.

[@el777]

Или прибавляет громкость )
Нажимать Fn+F12 на буке неудобно — надо руки сильно растопыривать :)
Уж лучше Cmd+Alt+J.

[@biblos]

Функции по умолчанию клавиш F1 — F12 зависят от модели Мака.
У меня например, без нажатия на Fn, клавиша F12 делает громче звук.

[@bolk]

На «Маке» нет отдельной клавиши F12, как, например, нет отдельной клавиши для символа «#». «Решётка» вводится нажатием Shift+3, F12 — Fn + 12-я клавиша в верхнем ряду (отсюда и название — Fn).

[@isden]

Внезапно!

UPD:
сорян, не обратил внимания что коммент от 2014 года О_о

UPD2:
интересно, почему у меня эта статья 8-ми летней давности вылезла в "что обсуждают"… все комменты за 2014 год.

[@gunnzolder]

alt+cmd+I => Web Inspector, alt+cmd+J => консоль. А еще фулскрин-режим — не F11, а shift+cmd+F

[@TyVik]

На F12 может быть повешен какой-нибудь терминал типа guake, а длинные горячие клавиши как правило не переопределяют.

[@bubuq]

На маке и линуксе это не работает.

[@alhimik45]

Хм, Mint 15 и F12 работает, но на ноутбуке неудобно из-за Fn

[@omnisens]

судя по видео, это не hotkey. Там приглашают нажать J в строке адреса страницы, а через CTRL^V вставить содержимое буфера обмена. Скорее всего «j» им нужна как первая буква javascript, чтоб «javascript:» явно не фигурировал в копируемом тексте (может на это есть защита).

[@akazakow]

В Chrome при попытке вставить в адресную строку что-либо, начинающееся на «javascript:» (например, "javascript:alert(1);"), начало строки автоматически обрежется (останется только "alert(1);").
Возможно, что-то подобное есть и в Safari.

[@usrsse2]

В Safari нужно "Разрешить запуск JavaScript из строки поиска" в меню "Разработка", которое нужно предварительно включить в настройках браузера.

[@jonic]

если посмотреть видео, то виодно что в буффере обмена ссылка типа «avascript://code here», и просьба, мол выдели адресную строку целиком, нажми j, и ctrl+V, enter. получается «javascript://code» который радостно исполниться ) приему 100 лет в обед, но я даже не думал что его можно так использовать :)

[@Goodkat]

Интересная задача — защититься от выполнения пользователем произвольного кода.
HttpOnly-куки, не оставлять ничего в глобальном скоупе, все AJAX-запросы только с одноразовыми токенами?

[@mwizard]

Как оно, в принципе, и должно быть и так.

[@arXangel]

ВКонтакте так не думает. По крайней мере по части глобальных переменных точно.

[@metamorph]

Во вконтакте, кстати, довольно увлекательная консоль.
Сидишь и прямо видишь, как жизнь протекает мимо.

[@Zibx]

JS это не совсем тот язык где можно быть уверенным что получив доступ к консоли хоть что-то останется тайной. Тут мы подменяем Function.call и врываемся в самые глубокие скоупы. Это можно избежать, если хитро написать код, но там очень много мест куда так можно ворваться. Можно Number.toString\valueOf подменить на функцию, которая будет попутно смотреть кто её позвал и запоминать — это уже будут внутренности скоупа.

[@Goodkat]

если хитро написать код

Что-нибудь типа такого?

while((Function.call+'').replace(/\n| /g, '') != "functioncall(){[nativecode]}");

[@alhimik45]

Тоже можно обойти через

Function.call.toString=function(){return "function call() { [native code] }"}

[@Goodkat]

Проверять Function.call.toString == Function.call.toString.toString :)

[@mayorovp]

Заменить Function.prototype.toString…

[@Goodkat]

Сдаюсь.

[@Homakov]

кстати да, сам над этой проблемой работал.

Я хотел разработать защиту от кликджекинга на уровне JS — считывать opacity и z-index, отсылать их фрейму через постмессаж + nonce спрятанная внутри моего замыкания. Пришел к выводу что придется постоянно сверять toString+'' и нет гарантий что енвайромент не изменен

[@yeputons]

Это же далеко не всегда поможет: можно взять конкретную кнопку на странице и сделать onclick. И как отличать, нажали мышкой/по enter/по хоткею или же «программным» образом?

[@doromones]

можно пытаться отлавливать координаты мыши в момент клика(видел в одной браузерке), программный клик вроде бы не оставляет таких следов

[@taliban]

оставляет, можно свой евент добавить, и заполнить его любые поля

[@Goodkat]

Ну, штучно лайки проставлять — это не так страшно, как угон аккаунтов и спам.

[@Alexeyslav]

Так, наверно, и AdBlock можно обойти?

[@JIghtuse]

AdBlock (Plus) можно купить.

Web Console в Firefox на facebook работает, в том числе автодополнение.

[@BeLove]

Пример подобной self xss, от которых они думают защищаться: bugscollector.com/db/facebook.com/90/

[@Magistr_AVSH]

А всё таки, как же они блокируют консоль где-то кроме Хрома? Если я правильно понял, то console._commandLineAPI только для хрома подходит(command line api)

[@Samin]

Кстати, да

[@zxcabs]

Не понимаю как это может помочь пользователям. Ну не будет доступа в консоль, ни чего не помешает, так же попросить ввести в адресную строку нечто вроде: javascript:, и этот код будет выполнен.
Но и это имхо слишком сложно для пользователя, куда проще, попросить добавить в закладки такую строчку, а потом просто кликнуть по ней на нужной странице. Вот примерно так: jsfiddle.net/q9atS/1/embedded/result/

Так что необходимость такой «защиты» весьма сомнительна.

ап. посмотрел видео, там о том же и говорят.

[@alex_shpak]

Ввод javascript (по крайней мере, вставка из буфера), вроде бы, в большинстве современных браузеров уже «сломана»?

[@alhimik45]

Поэтому так: habrahabr.ru/post/212329/#comment_7302475?

[@alex_shpak]

да, но Internet Explorer проверяет содержимое адресной строки после вставки текста, поэтому там надо сначала вставить текст без первой j, потом нажать

[@zxcabs]

Да, при вставке из буфера javascript вырезается, но вот при клике по закладке все работает как надо.
Проверял в Chrome 30.0.1599.66

[@mayorovp]

Когда же они успели-то? Казалось бы, совсем недавно так делал…

[@Arik]

Почему-то вспомнил про «ALT+F4» в онлайн играх (CS, WoT), перед игрой в чатах писали, что это супер фишка, режим бога, скорее нажимайте! И было видно как люди уходили в оффлайн, нажимая кнопки.

[@mayorovp]

Ну, Alt+F4 особо вредной нагрузки не несет. Надо быть полным идиотом, чтобы сделать так два раза — а один раз никому сильно не повредит. Разве что во время турнира… Хотя, все же некоторое сходство с описанными атаками тут и правда есть.

[@mihmig]

Спасибо за шорткат Ctrl+Shift+J — не знал.
А для хрома есть какие расширения (в магазин не нашёл) позволяющие добавить хоткеи- вот например закрытие вкладки по F4 (а не по Alt+F4)- чтоб быстрее и пальцы лишний раз не корячить?

[@KirAmp]

Все-таки ctrl+f4 :-) Есть еще проще — ctrl+w, с ним пальцы сложно поломать

[@JIghtuse]

Один из инженеров Facebook сообщил на Stackoverflow, что отключение всей консоли произошло по ошибке. Предполагалось, что нововведение поможет бороться с одним из методов социальной инженерии: stackoverflow.com/a/21693931

[@JIghtuse]

Увидел, что в посте об этом и написано. Посыпаю голову пеплом.