IE6,7,8对content-type 为 text/plain 的内容处理方式

最新推荐文章于 2024-07-22 17:34:56 发布

pp12345mm

最新推荐文章于 2024-07-22 17:34:56 发布

阅读量1.8k

点赞数

分类专栏： web 文章标签： IE

本文链接：https://blog.csdn.net/pp12345mm/article/details/9666499

版权

web 专栏收录该内容

1 篇文章 0 订阅

订阅专栏

举例：

<?php
header("Content-Type:text/plain");
?>
<html>
<head>
</head>
<body>
<iframe src="" id="main"></iframe>
<script>
document.getElementById("main").src="javascript:alert(1)";
</script>
</body>
</html>

ie下会弹框。

chrome，firefox直接显示文本内容。

<iframe src="" id="main"></iframe>
<script>
document.getElementById("main").src="javascript:alert(1)";
</script>

原因分析

在 IE6 IE7 IE8 中，对于 content-type 为“text/plain”的 HTTP 响应头，浏览器仍然会尝试以“text/html”的方式将其解析为 HTML 页面，而不是以纯文本的方式显示。
其解析的具体规则为：嗅探文件内实际内容，如果从文件内容起开始计算的 200 个 ASCII 字符内，存在可明显被识别的 HTML、BODY、HEAD、TITLE 标记则，将该文件解释为 HTML 文件类型并渲染出来。

在其他浏览器中，则是遵照响应头中 content-type 类型以纯文本的方式显示内容，所以页面的代码被显示出来

补充：ie8下，如果明确指定html格式的图片是.jpg类型则不会触发xss。但是ie6仍能触发。

解决方案

合理正确地设置文档的 content-type 类型，同时应避免在非 HTML 文件中出现可被 IE6 IE7 IE8 嗅探机制捕获的 HTML、BODY、HEAD、TITLE 标记书写格式。

参考文档

http://www.w3help.org/zh-cn/causes/CH9001

http://www.w3help.org/zh-cn/causes/CH9002