Stiamo inserendo nella lista nera un certo numero di tipi MIME sul nostro server proxy, quindi gli utenti non possono scaricare determinati tipi di file, ad esempio, eseguibili.
Potrebbe essere possibile che in qualche modo un server malintenzionato possa ingannare un utente (magari tramite exploit di script o drive-by) per cercare e scaricare un eseguibile dannoso, ignorando la lista nera? Supponiamo che il server proxy consenta solo il traffico HTTP.
Sui browser più vecchi, la risposta è sì, questo tipo di attacco è possibile , a causa del supporto di alcuni browser per lo sniffing del tipo di contenuto MIME. Puoi Google per gli attacchi di sniffing dei contenuti e troverai molti più dettagli.
Per difenderci, imposta l'intestazione X-Content-Type-Options: nosniff (supportato solo su IE8 e IE9, credo) e assicurati di offrire un tipo di contenuto valido nell'intestazione Content-Type: . Quelli disabiliteranno lo sniffing del tipo di contenuto su molti browser (su IE8, IE9 e browser non-IE, almeno).
Vedi anche Uso dell'estensione di file e del tipo MIME (come output per file -i -b) per determinare i file non sicuri? , X-Content-Type-Options previene realmente gli attacchi di sniffing dei contenuti? , Quali sono i rischi per la sicurezza che consente agli utenti di caricare contenuti sul mio sito? , Come posso essere protetto dalle vulnerabilità delle immagini? , È sicuro servire qualsiasi file caricato dall'utente sotto i soli tipi di contenuto MIME elencati in bianco? , Protezione di sniffing MIME , Perché dovrei limitare il tipo di contenuto dei file da caricare sul mio sito? .
Raccomando anche di servire contenuti caricati dall'utente da un dominio separato, di sandbox il contenuto dell'utente e di garantire che non possa manomettere il contenuto. Ad esempio, potresti ospitare i tuoi contenuti su www.example.com e ospitare contenuti forniti dagli utenti su uploads.example.com .
Aggiornamento: ho appena appreso che l'impostazione delle intestazioni Content-Type e X-Content-Type-Options non è sufficiente per la sicurezza. A quanto pare, Flash ignora l'intestazione Content-Type , che potrebbe consentire il caricamento di un SWF dannoso, che può quindi fare tutto ciò che fare con un XSS. (Sigh, stupido Flash.) Sfortunatamente, nessuna quantità di header può fermare questo attacco. Di conseguenza, sembra che l'unica soluzione sicura sia ospitare il contenuto caricato dall'utente su un dominio separato.
Leggi altre domande sui tag proxy