［無視できない］IEのContent-Type無視

［無視できない］IEのContent-Type無視：教科書に載らないWebアプリケーションセキュリティ（2）（1/2 ページ） XSSにCSRFにSQLインジェクションにディレクトリトラバーサル……Webアプリケーションのプログラマが知っておくべき脆弱性はいっぱいあります。そこで本連載では、そのようなメジャーなもの“以外”も掘り下げていきます（編集部） 無視できないIEの「Content-Type無視」問題 皆さんこんにちは、はせがわようすけです。 第2回では、Internet Explorer（以下、IE）の仕様でも特に悪名高い「Content-Type無視」について説明します。 IEのContent-Type無視問題は非常に複雑で、私自身も完全に説明できる自信はないのですが、それでもセキュアなWebアプリケーションを開発するうえで避けては通れない問題ですので、取り上げることにしました。

[takkada]

「無視できないIEの「Content-Type無視」問題」IEはContent-Typeだけでなく、ファイルタイプを決定するためにコンテンツの内容をスキャンする

[raimon49]

IE 9では設定項目名が「拡張子ではなく、内容によってファイルを開くこと」 -> 「MIMEスニッフィング」に変更。

[itoyu_110]

あとでよむ

[tksmd]

IE は Content-Type をみない。

[tarchan]

＞IE側では「拡張子ではなく、内容によってファイルを開くこと」を「無効にする」に設定する

[youhey]

IEのファイルタイプ決定ロジック、IEでContent-typeが無視される理由／、IEのContent-Type無視およびファイルタイプ決定の処理は非常に複雑怪奇

[cnomiya]

サーバ側のレスポンスヘッダに X-Content-Type-Options: nosniff を追加する（IE8向け）

[nilab]

「Content-Type無視によるXSS」「ファイルタイプをどのように判断するのか」［無視できない］IEのContent-Type無視

[shimooka]

『X-Content-Type-Options: nosniff』

[pmint]

何が問題なんだろう。Wikiが例に挙がっているところは「添付ファイルとしてアップロードしたとき」だろうか。でもそれってファイルとしてダウンロードされるだけでは？

[sankaseki]

［無視できない］IEのContent-Type無視 － ＠IT

[hiro_y]

IEがいかにしてContent-Typeを無視するか。

[nakag0711]

このサイトには編集者によるチェックというものがないらしい

[hiro-ueda]

デフォルトは厳しい方に振っておいて欲しいんだけどなぁ...

[pochi-p]

今思えば「OpenOffice.orgの全社採用したいけど、(Web型)グループウェアでIEが拡張子を.zipに変えるので難しい」ってのはこれが原因かー。 / つまり、互換性云々でなくOOoに対する嫌がらせだったのか？？

[t_takata]

IE以外ではHTMLソースがでてIEだと表示される元凶はこれか

[tkawa]

IEが腐ってる理由の1つ

[nasunori]

IE8でもまだ直ってないのか…。

[wacky]

IEのContent-Type無視問題について。IEがどのようにファイルタイプを決定するか。調査資料。

[JULY]

IEの Conent-Type の取り扱い。

[daira4000]

IEの内部でContent-Typeがどうやって決まるか

[yyamano]

サーバ側のレスポンスヘッダに X-Content-Type-Options: nosniff を追加する（IE8向け）

[mumincacao]

自動転送止めるだけで真っ白なさいとがけっこうあるけど便利機能とせきゅりてぃはどうしても両立できないとこもあるからにゃぁ・・・　（´・ω・｀；【みかん

[koyhoge]

「X-Content-Type-Options: nosniff」ほほー

[hasegawayosuke]

いつもながらひどい記事でごめんなさい。// IEが「内容によってファイルタイプを決める」という話ではなく、「内容見なくてもURLでファイルタイプを決める」という話です。