深刻理解什么是MIME类型及其在文件上传漏洞中的妙用

什么是MIME类型

MIME（Multipurpose Internet Mail Extensions）类型是在互联网上用于标识文件类型的标准方式。它在很多应用中得到了广泛的应用，例如电子邮件、Web浏览器和Web服务器等。

MIME类型是由两部分组成的，第一部分是媒体类型（media type），用来表示文件的大类别，例如text、image、audio、video等，第二部分是子类型（sub-type），用来表示具体的文件类型，例如text/plain、image/jpeg、audio/mpeg、video/mp4等。

MIME类型是通过HTTP头部的Content-Type字段来指定的。例如，在Web服务器向浏览器发送一个HTML文件时，服务器会在HTTP头部中添加Content-Type字段，并将其设置为text/html，这样浏览器就知道如何正确地处理该文件。

MIME类型还可以指定字符集、语言和编码方式等信息。例如，Content-Type字段可以设置为text/html; charset=UTF-8，表示这个HTML文件使用了UTF-8字符集。

小结

总之，MIME类型在互联网上起到了非常重要的作用，它能够让不同的应用程序正确地识别文件类型并进行处理。同时，MIME类型也在很多其他领域得到了广泛的应用，例如在电子邮件中用于附件的处理、在FTP协议中用于文件的传输等。

拓展:常见的MIME类型

超文本标记语言文本 .html text/html
xml文档 .xml text/xml
普通文本 .txt text/plain
RTF文本 .rtf application/rtf
PDF文档 .pdf application/pdf
Microsoft Word文件 .word application/msword
PNG图像 .png image/png
GIF图形 .gif image/gif
JPEG图形 .jpeg,.jpg image/jpeg
au声音文件 .au audio/basic
MIDI音乐文件 mid,.midi audio/midi,audio/x-midi
RealAudio音乐文件 .ra, .ram audio/x-pn-realaudio
MPEG文件 .mpg,.mpeg video/mpeg
AVI文件 .avi video/x-msvideo
GZIP文件 .gz application/x-gzip
TAR文件 .tar application/x-tar
任意的二进制数据 application/octet-stream

MIME类型的实战运用

参考下文中的Pass-02(后端验证文件类型--MIME校验)

链接直通车:手把手教你玩转upload-labs靶场

手把手教你玩转upload-labs靶场(1--20关超详细保姆级)

以下是这篇文章中涉及到MIME类型的段落节选:

  Pass-02(后端验证文件类型--MIME校验)

提示：本pass在服务端对数据包的MIME进行检查！

第二关只验证了MIME类型(实战中当然不会如此单调啦),我们只需要使用BP抓包将Content-Type:的参数修改为上图中三种图片格式的一种即可