MIME 嗅探.

浏览器根据响应字节猜测内容类型的行为,可被利用,将用户上传的文件作为脚本执行。 它属于网络安全的 应用安全 分类。

浏览器根据响应字节猜测内容类型的行为,可被利用,将用户上传的文件作为脚本执行。

MIME 嗅探是浏览器的遗留特性:检查响应的前几个字节,并覆盖服务器声明的 Content-Type,以便更"贴心"地渲染资源。当应用以错误类型提供用户上传文件时,攻击者可借此发动攻击:含 HTML 或 JavaScript 的文件可能被嗅探为 text/html,并在受害者的源中执行,从而形成存储型 XSS。标准缓解措施是返回 X-Content-Type-Options: nosniff 响应头,强制浏览器遵循声明的类型。建议结合严格的 Content-Type、CSP,以及将用户内容置于独立源来部署。

针对 MIME 嗅探 的防御通常结合技术控制与运营实践,详见上方完整定义。