octet-streamヘッダについて

Question

前提・実現したいこと

ファイルのアップロード機能をもつアプリケーションにおいて
Content-Typeヘッダに「octet-stream」が設定されている場合、
アップロードするhtmlファイルにスクリプトタグを記載し、
ダウンロードした際にスクリプトを実行されることはありますか。

発生している問題・エラーメッセージ

エラーメッセージ

該当のソースコード

ソースコード

試したこと

ここに問題に対して試したことを記載してください。

補足情報（FW/ツールのバージョンなど）

ここにより詳細な情報を記載してください。

Comments

[m.ts10806]

もう少し、具体例を。

[68user]

https://boscono.hatenablog.com/entry/20070805/p1
IE3 とか 4 とかだとあるかも。

Answer 1

Content-Type: application/octet-stream のみですと、IE（Windows10上のIE11も含む）では、下記のように<script>タグが有効になります。

<?php
  header('Content-Type: application/octet-stream');
  // header('X-Content-Type-Options: nosniff');
  // header('Content-Disposition: attachment; filename="hogehoge.bin"');
?><script>alert(1)</script>

これを避けるには、上記ソースコードでコメントアウトされているヘッダのうち最低どちらか一方を有効にすれば、ダウンロードの形になります。両方を有効にすることをお勧めします。

上記の内容は、下記の書籍にて説明されています。

体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践

Comments

[giro_888]

ご回答ありがとございます。
<script>タグが有効になる場合があるケースについて理解できました。

Answer 2

意味不明の部分がありますが、使われているキーワードから推測すると、昔のIEの脆弱性みたいなことを心配しているのですかね？
レスポンスのContent=Typeがoctet-streamなら、ブラウザがその中に含まれるJavaScriptを実行することは無いです。

Comments

[giro_888]

レスポンスのContent=Typeがoctet-streamなら確実にJavaScriptが実行されないのか、ということが疑問でした。ご回答ありがとうございます。

[otn]

ただし古いIEを除く。IE11とかだと設定次第。