Content-Type和X-Content-Type-Options標題的安全性

Question

在瀏覽Web應用程序漏洞的材料時，我遇到了一些疑問。這裏是細節。

• Burp，APPScan等工具根據應用服務器的特定響應頭報告漏洞。我知道有一些標題互相補充。例如： - '內容類型'和'X-Content-Type-Options'。如果second設置爲'nosniff'，那麼瀏覽器根本不會嗅探響應主體，並會遵守'Content-Type'標題中設置的值。同樣，HTTP請求還可以使用「接受」類型的標題來指示它期望的響應類型。在這種情況下，如果'X-Content-Type-Options'未設置爲'nosniff'，而對此類響應的請求的'Accept'參數僅指示文本/純文本類型，我是否需要考慮應用程序易受攻擊？

• 該查詢的另一個擴展是如果響應頭具有以下字段集。 Content-Type=text/plain X-Content-Type-Options=nosinff。在我看來，這不是一個漏洞，因爲第二個參數將限制瀏覽器嗅探響應主體。從安全角度看，我的理解是否正確？

Answer 1

從攻擊者的角度來看，您對服務器的整個http請求只不過是一串字符串。攻擊者不太可能使用標準瀏覽器來執行攻擊。這可能更像是一個腳本，它僅僅會觸發http請求或者攔截請求並允許任何形式的修改的代理工具。 「nosniff」標誌對這些類型的請求修改無關緊要。永遠不要信任http請求的內容，因爲它們可以由用戶全部指定。