首页 > 其他分享 >HTTP协议安全头部X-Content-Type-Options引入的问题

HTTP协议安全头部X-Content-Type-Options引入的问题

时间：2023-12-30 16:44:35浏览次数：51  
标签：浏览器 Content HTTP Type Options 图片

本文于2016年4月完成，发布在个人博客网站上。 考虑个人博客因某种原因无法修复，于是在博客园安家，之前发布的文章逐步搬迁过来。

前段时间测试MM反馈了一个问题，在富文本编辑器里上传的图片无法正常呈现。因为Jackie在本机的环境上没有观察类似的现象，而恰好那天测试环境的某个重要配项被改错了，于是Jackie想当然的归类为配置项错误引入的问题。但修改完测试环境的配置项后，测试反馈富文本编辑器内图片无法呈现的现象依然存在。

这下就有点麻烦了，问题是在版本上线的前一天晚上发现的，如果问题不能尽快处理，势必对第二天的版本上线产生影响。虽然逢上线必加班至深夜，但也不能让问题挂在Jackie手里。

时间紧急，问题诡异，Jackie马上放下手头的工作，全力投入分析工作中。

排查过程

  • 如前所述，配置项修改正确后，问题现象仍然存在，因此首先排除了配置项配置引入问题的可能。
  • 请测试MM帮忙复现问题，仔细观察之后，发现使用不同浏览器访问问题页面时可以观察到不同的现象：
    • 使用Chrome访问页面时，富文本编辑器内的图片可以正常呈现。
    • 使用IE9、IE11访问页面时，富文本编辑器内的图片无法呈现。从浏览器的呈现效果看，貌似是图片加载失败；但在调试器的网络面板查看页面资源的加载情况，可以观察到浏览器发起了图片的获取请求，而Web应用确实返回了图片信息；但就是没有呈现出来。
    • 直接把富文本编辑器的内图片的URL复制出来，贴到浏览器的地址栏里访问，图片可以正常呈现。
  • 在生产环境和体验环境上做对比验证，使用IE9、IE11访问这两个环境，查看富文本编辑器内的图片，没有观察到前述的问题，因此可以判定测试MM在测试环境上发现的问题是最近引入的，时间范围不超过2个星期，因为那段时间项目组早已切换为两周一迭代的节奏。
  • 检查富文本编辑器相关代码的提交记录，发现最近的提交记录远在几个月前，因此基本可以排除富文本编辑器自身代码的问题。
  • 肿么搞呢？似乎进入了死胡同。看来常规的方法都不见效，只能逐一排查代码提交记录了。

幸运的是提交记录不多，10分钟之内被Jackie扫描了一遍；大部分提交记录都是清白了，唯一可疑的提交记录来自于Jackie本人，果然这个问题只能由Jackie来定位和分析。为了解决AppScan报告中提到的“HTTP响应缺少安全头部”的警告，Jackie在发现问题的那天早上修改了Tomcat的配置，增加了安全头部相关的过滤器，而晚上留在办公室加班，目的就是要确认前述的警告是否已消除。

为了确认前述问题和HTTP安全头部的相关性，Jackie手工修改测试环境上Tomcat的配置，去掉了增加安全头部的过滤器，重启Tomcat后尝试重现问题，惊喜的发现，富文本编辑器内的图片恢复正常呈现，这说明HTTP响应增加安全头部之后，对基本功能产生了影响。

当前启用了HTTP协议的安全头部的如下几个：

  • Strict-Transport-Security
  • X-Frame-Options
  • X-Content-Type-Options
  • X-XSS-Protection

范围比较小，逐个排查之后，发现前述问题现象和X-Content-Type-Options相关，因此决定仍然启用HTTP安全头部的输出，但禁用X-Content-Type-Options，富文本编辑器内的图片可以正常呈现，同时不会对安全性造成很大的影响。

本来觉得修改Tomcat的配置和业务不相关，不会有什么问题，也没有过基本功能，结果偏偏天不遂人愿，还真让测试MM发现个诡异问题。看来侥幸心理不能有，该做的工作不能省，否则就得加班、加倍的补回来。

下面使用最少的样例代码来说明问题是如何发生的。

问题是如何发生的

准备复现环境

jsp页面

<%@ page session="false" pageEncoding="UTF-8" contentType="text/html; charset=UTF-8" %>
<!DOCTYPE html>
<html lang="en">
    <head>
        <meta charset="UTF-8" />
        <title><%=request.getServletContext().getServerInfo() %></title>
    </head>
        <div>
            <img alt="FileDownload" src="<%=request.getContextPath()%>/GetPicture">
        </div>
    <body>
        
    </body>
</html>

GetPicture的实现

如下这段代码的实现存在问题，使用流方式返回数据时，没有显式指定Content-Type。

package com.struts2.servlets;

import java.io.File;
import java.io.FileInputStream;
import java.io.IOException;
import java.io.InputStream;
import java.io.OutputStream;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import org.apache.commons.io.IOUtils;

public class GetPictureServlet extends HttpServlet {

	private static final long serialVersionUID = -5935833295545479697L;
	@Override
	protected void doGet(HttpServletRequest req, HttpServletResponse resp)
			throws ServletException, IOException {			
		String path = req.getServletContext().getRealPath("");

		byte[] buffer = new byte[4096];
		int count = 0;
		InputStream is = null;
		OutputStream os = null;

		try
		{
			is = new FileInputStream(new File(path, "tomcat.png"));
			os = resp.getOutputStream();
			
			while ((count = is.read(buffer)) > 0) {
				os.write(buffer, 0, count);
			}
		}
		catch (IOException e)
		{
			e.printStackTrace();
		}
		finally
		{
			IOUtils.closeQuietly(is);
			IOUtils.closeQuietly(os);
		}
	}
}

web.xml

<servlet>
    <servlet-name>GetPictureServlet</servlet-name>
    <servlet-class>com.struts2.servlets.GetPictureServlet</servlet-class>
</servlet>
<servlet-mapping>
    <servlet-name>GetPictureServlet</servlet-name>
    <url-pattern>/GetPicture</url-pattern>
</servlet-mapping>

使用浏览器观察

重温一些安全相关的HTTP响应头中对X-Content-Type-Options的介绍。

互联网上的资源有各种类型，通常浏览器会根据响应头的Content-Type字段来分辨它们的类型。例如："text/html"代表html文档，"image/png"是PNG图片，"text/css"是CSS样式文档。然而，有些资源的Content-Type是错的或者未定义。这时，某些浏览器会启用MIME-sniffing来猜测该资源的类型，解析内容并执行。

使用浏览器调试面板来观察HTTP响应的头部，对上文做验证。

  1. 未启用HttpHeaderSecurityFilter时，HTTP响应的头部如下

     Content-Length:5103
 Date:Mon, 02 May 2016 05:07:22 GMT
 Server:Apache-Coyote/1.1

  2. 修改$CATALINA_BASE/conf/web.xml，启用HttpHeaderSecurityFilter

     <filter>
     <filter-name>httpHeaderSecurity</filter-name>
     <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
     <async-supported>true</async-supported>        
 </filter>

    使用浏览器的调试面板观察Tomcat响应浏览器请求时的HTTP头部

     Cache-Control:private
 Content-Length:5103
 Date:Mon, 02 May 2016 05:42:00 GMT
 Expires:Thu, 01 Jan 1970 08:00:00 CST
 Server:Apache-Coyote/1.1
 Strict-Transport-Security:max-age=30;includeSubDomains
 X-Content-Type-Options:nosniff
 X-Frame-Options:SAMEORIGIN
 X-XSS-Protection:1; mode=block

    此时，使用浏览器访问页面时，图片不能正常呈现。

  3. 修改$CATALINA_BASE/conf/web.xml，禁用X-Content-Type-Options特性

     <filter>
     <filter-name>httpHeaderSecurity</filter-name>
     <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
     <async-supported>true</async-supported>           
     <init-param>
         <param-name>blockContentTypeSniffingEnabled</param-name>
         <param-value>false</param-value>
     </init-param>
 </filter>

    使用浏览器的调试面板观察Tomcat响应浏览器请求时的HTTP头部

     Cache-Control:private
 Content-Length:5103
 Date:Mon, 02 May 2016 05:50:39 GMT
 Expires:Thu, 01 Jan 1970 08:00:00 CST
 Server:Apache-Coyote/1.1
 Strict-Transport-Security:max-age=30;includeSubDomains
 X-Frame-Options:SAMEORIGIN
 X-XSS-Protection:1; mode=block

    此时，使用浏览器访问页面时，图片可以正常呈现。

  4. 修改$CATALINA_BASE/conf/web.xml，恢复X-Content-Type-Options特性

     <filter>
     <filter-name>httpHeaderSecurity</filter-name>
     <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class>
     <async-supported>true</async-supported>           
 </filter>

    修改GetPictureServlet类的实现，写入图片流前先设置HTTP响应头部Content-Type，取值为image/png

     resp.setHeader("Content-Type", "image/png");

    使用浏览器的调试面板观察Tomcat响应浏览器请求时的HTTP头部

     Cache-Control:private
 Content-Length:5103
 Content-Type:image/png
 Date:Thu, 05 May 2016 15:38:12 GMT
 Expires:Thu, 01 Jan 1970 08:00:00 CST
 Server:Apache-Coyote/1.1
 Strict-Transport-Security:max-age=30;includeSubDomains
 X-Content-Type-Options:nosniff
 X-Frame-Options:SAMEORIGIN
 X-XSS-Protection:1; mode=block

    此时，使用浏览器访问页面时，图片可以正常呈现。

结论

按照减少 MIME 类型的安全风险的介绍，IE的行为受X-Content-Type-Options的影响，如果Web应用没有返回Content-Type，那么IE9、IE11将拒绝加载相关资源。

如果服务器发送响应头 "X-Content-Type-Options: nosniff"，则 script 和 styleSheet 元素会拒绝包含错误的 MIME 类型的响应。这是一种安全功能，有助于防止基于 MIME 类型混淆的攻击。

从前述的测试结果看，的确证实了X-Content-Type-Options对IE9、IE11的影响。

但仍有不明之事，文章减少 MIME 类型的安全风险只提到了script和stylesheet标签，没有提到img标签，不了解为什么X-Content-Type-Options对图片的加载也会产生影响。后来使用Windows 10的Edge做验证，发现Edge也存在相同的问题，只要启用了X-Content-Type-Options，那么图片必定呈现不出来。Jackie猜，这也许是文档太旧了，或者是Jackie没有找到最新的文档。

另外按照Jerry Qu的文章一些安全相关的HTTP响应头的描述，X-Content-Type-Options应该会影响Chrome的行为，但从测试结果看，使用img标签加载图片时，如果Web应用没有返回Content-Type，无论是否启用X-Content-Type-Options，Chrome都可以正常呈现图片，这一点比较奇怪。

参考资料

标签：浏览器,Content,HTTP,Type,Options,图片
From： https://www.cnblogs.com/jackieathome/p/17936515.html

相关文章

  • IP: dns-lookup : 查询域名的公网IP地址 解决 DNS域名解析绑架的问题例如访问 raw.git
    示例：https://github.com/orgs/community/discussions/42655https://github.com/mwaskom/seaborn-data/blob/2b29313169bf8dfa77d8dc930f7bd3eba559a906/dataset_names.txthttps://www.ip-lookup.org/dns-lookup/raw.githubusercontent.comIPDetailsDomain:Raw.githubuser......
  • TypeORM 的同步选项
    配置TypeORM连接到数据库时，有一个synchronize选项，意思是“同步”，也就是同步TypeORM实体和数据表，再详细讲就是根据实体自动创建和修改数据表结构，使其与TypeORM定义的实体类相匹配。以Nest中的使用为例：import{Module}from'@nestjs/common';import{TypeOrmModule}......
  • https初识
    1.服务器环境，两台服务器做前端代理，两台服务器做后端真实服务器。这里都是nginx代理服务器后端服务器172.16.5.50172.16.5.52172.16.5.51172.16.5.532、 后端两台服务器修改nginx配置文件：cd/etc/nginx/conf.dvimwww_hello80.conf###server{li......
  • HTTP类型接口之请求&响应详解
    一、接口介绍接口测试是测试系统组件间接口的一种测试。接口测试主要用于检测外部系统与系统之间以及内部各个子系统之间的交互点。测试的重点是要检查数据的交换，传递和控制管理过程，以及系统间的相互逻辑依赖关系等。接口常见的分类有：二、HTTP类型接口通过Fiddler抓......
  • Java+SpringBoot+Maven+TestNG+httpclient+Allure+Jenkins实现接口自动化
    一、方案需求目标：测试左移，测试介入研发过程，验证单接口正常及异常逻辑选用工具：Java、SpringBoot、Maven、TestNG、httpclient、Allure、Jenkins方案：创建测试接口测试工程，参照研发设计文档和设计思路，编写正常及异常用例，直接调用服务端接口，覆盖接口逻辑和验证异常处理，提升接口健壮......
  • grpc是基于http/2协议的高性能的rpc框架
    师傅领进门，修行在个人，跟着官方脚手架demo了grpc后，之后就需要扩展前后知识边界，下面总结grpc的前世今生和最佳实践。https://www.cnblogs.com/JulianHuang/p/14441952.htmlgrpc是基于http/2协议的高性能的rpc框架为什么已经有http？还需要grpc？八股文都说grpc是基于http2的rpc框......
  • HTTPS 通信中的对称加密和非对称加密
    HTTPS是一种基于SSL/TLS协议的加密传输协议，它采用了对称加密和非对称加密技术来保证通信安全。在HTTPS通信中，对称加密和非对称加密各有不同的作用。对称加密对称加密是指加密和解密所使用的密钥是相同的加密方式。在对称加密算法中，只有持有密钥的人才能够解密被加密的信息。对称加......
  • DNS、长短连接.、HTTP
    DNS：DomainNameSystem域名系统......
  • centos7 升级curl-8.2.1 支持http2 （yum update）
    转载于：https://www.cnblogs.com/huangweimin/articles/15882913.htmlCentOS7默认的curl版本最新就到7.29 ，它是不支持http2的#curl--versioncurl7.29.0(x86_64-redhat-linux-gnu)libcurl/7.29.0NSS/3.53.1zlib/1.2.7libidn/1.28libssh2/1.8.0Protocols:dict......
  • 初识隧道代理HTTP：理解基础概念的重要性
    嗨，小伙伴们！如果你对网络世界充满好奇，那么这篇文章就是为你准备的。我们将一起踏上一段奇妙的旅程，探索一个叫做“隧道代理HTTP”的新领域。但在这之前，我们需要先穿上“基础概念”的防护服，以免被这个复杂世界的各种“专业术语”搞晕头。隧道代理HTTP，这个名字听起来就像是一个神秘的密......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99