Et britisk selskap som inntil nylig het «"><SCRIPT SRC=HTTPS://MJT.XSS.HT> LTD», har blitt tvunget av Companies House, den britiske registermyndigheten for virksomheter, til å endre navnet. Selskapet heter nå «That Company Whose Name Used To Contain HTML Script Tags LTD».
Ifølge The Guardian dreier det seg om et programvareselskap som ønsket å ha et morsomt og lekent navn. Companies House var ikke med på leken.
Kan gjøre betydelig skade
I stedet ble navnet vurdert som risikabelt. Ikke for selskapet selv, men for mange IT-systemer med manglende filtrering eller «escaping» av data. Dersom navnet gjengis ufiltrert på en webside, kan det bli tolket som kode istedenfor data, og da vil det kunne skape et XSS-angrep (Cross-Site Scripting).
Dette skyldes at bedriftsnavnet blant annet inneholder en tegnene «">», som kan avslutte for eksempel INPUT-felt hvor bedriftsnavnet er oppgitt som verdi, og HTML-taggen SCRIPT, som laster en Javascript-fil fra et eksternt domene. Koden i denne filen kan da bli kjørt i brukerens nettleser.
Riktignok peker adressen i dette bedriftsnavnet til en fil som ikke gjør noen ting. Tidligere skal koden i den ha ført til visningen av et uskyldig varsel. Men dersom innholdet i filen en gang i framtiden skiftes ut med skadelig kode, vil den blir kunne kjøres i nettleserne til alle dem som besøker nettsteder gjengir navnet og som er sårbare for slike XSS-angrep.
For øvrig kan navnet skape trøbbel også uten skade skriptkode, ved at det kan ødelegge HTML-strukturen på websiden. Det kan føre til at innhold på siden ikke blir vist.
Companies House skal i ettertid ha slettet alle offentlig tilgjengelige oppføringer av det opprinnelige bedriftsnavnet.
Også andre eksempler
Ifølge The Guardian er ikke dette første gang noen har forsøkt å registre et bedriftsnavn som kan gjøre skade i IT-systemer. I Storbritannia er det flere selskaper som har navn som potensielt kan gjøre stor skade i databasesystemer, ved at de inneholder SQL-operasjonen «DROP TABLE» i navnet, for eksempel:
ROBERT'); DROP TABLE STUDENTS; LIMITED
og
; DROP TABLE "COMPANIES";-- LTD
Disse navnene kan potensielt føre til at hele databasetabeller slettes.
Begge er inspirert av en berømt tegneseriestripe fra xkcd, som også er gjengitt nedenfor. Ingen av disse navnene har blitt forbudt i Storbritannia, selv om de potensielt kan gjøre enda større skade enn eksempelet nevnt innledningsvis i saken.
Bildet nedenfor er et annen eksempel på det samme.
Digi.no har ikke funnet norske virksomheter med tilsvarende navn.
