flawopen.com/XSS/Content-type sniffing

XSS akibat MIME sniffing: bagaimana kebingungan MIME mencapai browser

Bagaimana unggahan melewati batas dokumen

Misalkan aplikasi menerima unggahan lalu menyajikannya dari origin terautentikasi miliknya dengan Content-Type yang hilang atau tidak cocok. Jika browser menafsirkan respons sebagai dokumen HTML, markup dalam file dapat aktif di origin situs. Saat korban membuka file, hal ini menimbulkan risiko XSS tersimpan atau kebingungan konten. Ekstensi dan tipe media yang diklaim pada permintaan unggah tidak membuktikan format byte sebenarnya.

Tetapkan tipe dengan sengaja dan pisahkan unduhan

HTTP/1.1 200 OK
Content-Type: application/octet-stream
// tanpa X-Content-Type-Options
// origin yang sama dengan aplikasi terautentikasi

HTTP/1.1 200 OK
Content-Type: text/plain; charset=utf-8
X-Content-Type-Options: nosniff
Content-Disposition: attachment; filename="download.txt"

Gunakan Content-Type yang dipilih server dan sesuai dengan byte; jangan menyalin tipe yang diklaim pengunggah. X-Content-Type-Options: nosniff menonaktifkan MIME sniffing untuk respons dokumen dan memblokir permintaan script atau stylesheet dengan tipe MIME yang salah. Ini bukan perbaikan XSS universal: sajikan unggahan dari origin terpisah, utamakan Content-Disposition: attachment untuk unduhan, serta terapkan aturan ukuran, otorisasi, dan validasi file. Untuk gambar atau media inline, kembalikan tipe terverifikasi dan uji jalur respons browser yang sebenarnya.

Pertanyaan umum

Referensi

• MDN — header respons X-Content-Type-Options
• WHATWG Fetch Standard — X-Content-Type-Options
• OWASP — header respons keamanan HTTP