「拡張子ではなく、内容によってファイルを開くこと」の拡張子は Content-Type ではないことに注意 - 葉っぱ日記

少し前に JSONP が XSS を引き起こすかもしれないという点に関する興味深い記事を奥さんが書かれていました。 Kazuho@Cybozu Labs: JSONP - データ提供者側のセキュリティについて JSONP における Padding 部分(だけでなくJSON部分も。4/5追記)に攻撃者が HTML と解釈可能なスクリプトを注入することにより、JSONP なデータを直接 IE で開いた場合に HTML と解釈され XSS が発生する、という点について書かれています。 ここで、IE が JSONP を HTML と解釈する理由は以下の2点。 IEのよく知られた機能「拡張子ではなく、内容によってファイルを開くこと」により、内容が HTML っぽい場合には、Content-Type: text/javascript が無視され HTML として解釈される。 上述の設定が「無効」に設定

[youpy]

「 * 「拡張子ではなく…」による自動判定を回避するため、先頭にスペースを512バイト程度付加する」

[kits]

題がよく分からず(拡張子とContent-Typeヘッダはもともと違うものだと思うのだが)。Content-Typeと関係なく拡張子でメディア型を判定してしまう、ということか。

[mitsuki_engawa]

IE--

[send]

スペースによる回避策は取りたくないなあ