IT资讯 名称存在安全风险,Companies House 强制一公司改名

sheffield · 2020-11-08 18:00:06 · 热度: 13

因为公司名称中包含的字符可能导致"跨站脚本攻击(cross-site scripting)",Companies House 强制要求一家公司进行改名。

名称存在安全风险,Companies House 强制一公司改名

该公司的原名为"“><SCRIPT SRC=HTTPS://MJT.XSS.HT> LTD",以引号和方格线开头。而这一形式则会导致任何未能正确处理 HTML 代码的网站都会误以为公司名称是空白的,然后加载并执行来自网站 XSS Hunter 的脚本,这一脚本可以帮助开发人员发现跨站脚本错误。

一方面,该脚本本意是为了简单地发出一个无害的警报。但另一方面,恶意攻击者也可能会利用同样的弱点来达到更有破坏性的目的。

现如今,该公司的注册名已变更为 "THAT COMPANY WHOSE NAME USED TO CONTAIN HTML SCRIPT TAGS LTD",其由一位英国软件工程师创建成立。该工程师称,他之前给公司取那样一个名字的初衷纯粹是因为,他认为这是"一个有趣的俏皮名字"。并没有意识到 Companies House 会受到他所使用的极其简单的技术的影响。

事实上,这家公司并不是首例,过去也还曾有过类似的注册名称。如:; DROP TABLE “COMPANIES”;-- LTD,其灵感来自于一个著名的 XKCD 网络漫画,可导致一种被称为 SQL 注入的攻击。它也是第一个引起回应的此类名称。目前,Companies House 已从其数据源中追溯性地删除了原来的名称,所有提到其原来名称的文件现在都只写着 "Company name available on request"。

此次事件的公司负责人向《卫报》透露,因为过去也有其他公司注册了类似的俏皮的名字,所以他以为自己取的名称应该不会有问题。不过,他在发现可能存在一些小问题的第一瞬间,就将相关信息反馈给了 Companies House 和国家网络安全中心,且并没有向其他任何人透露这个问题。

他表示,自己此前并没有意识到这一名称会有问题的原因在于,因为包括 > 和 “ 在内的字符早已被明确允许作为公司名称,这表明该机构应该已经采取了安全措施来防止这种攻击。

对此,Companies House 的发言人则表示,一家公司注册时所使用的字符如果在不受保护的外部网站上发布,可能会给其少数客户带来安全风险。目前,他们已立即采取措施以减轻这一风险,并已采取措施防止类似情况发生。并自信地补充道,Companies House 的服务依然安全。

猜你喜欢:
暂无回复。
需要 登录 后方可回复, 如果你还没有账号请点击这里 注册