 | Este artículo necesita la atención de un experto en informática . ( Diciembre de 2013 ) |
La inhalación de contenido , también conocido como Tipo de soporte oler o MIME oler , es la práctica de inspeccionar el contenido de un flujo de bytes para intentar deducir el formato de archivo de los datos dentro de ella. El rastreo de contenido se usa generalmente para compensar la falta de metadatos precisos que de otro modo serían necesarios para permitir que el archivo se interprete correctamente. Las técnicas de rastreo de contenido tienden a utilizar una combinación de técnicas que se basan en la redundancia que se encuentra en la mayoría de los formatos de archivo: búsqueda de firmas de archivos y números mágicos , y heurística.incluyendo la búsqueda de subcadenas representativas conocidas, el uso de tablas de frecuencia de bytes y n -gramas , y la inferencia bayesiana .
MIME (Multipurpose Internet Mail Extensions) oliendo fue, y sigue siendo, utilizado por algunos navegadores web , incluyendo en particular Microsoft 's Internet Explorer , en un intento de ayudar a los sitios web que no señalizan correctamente el tipo MIME de visualización de contenido web. [1] Sin embargo, hacer esto abre una seria vulnerabilidad de seguridad , [2] en la cual, al confundir el algoritmo de rastreo MIME, el navegador puede ser manipulado para interpretar los datos de una manera que permita a un atacante realizar operaciones que no se esperaban. ya sea por el operador del sitio o por el usuario, como secuencias de comandos entre sitios . [3] Además, al hacer que los sitios que no asignan correctamente los tipos MIME al contenido parezcan funcionar correctamente en esos navegadores, no fomenta el etiquetado correcto del material, lo que a su vez hace que el rastreo de contenido sea necesario para que estos sitios funcionen, creando un círculo vicioso de incompatibilidad con los estándares web y las mejores prácticas de seguridad.
Existe una especificación para el rastreo de tipos de medios en HTML5 , que intenta equilibrar los requisitos de seguridad con la necesidad de compatibilidad inversa con el contenido web con datos de tipo MIME incorrectos o faltantes. Intenta proporcionar una especificación precisa que se pueda utilizar en todas las implementaciones para implementar un único conjunto de comportamientos bien definido y determinista. [4]
El comando de archivo de UNIX se puede ver como una aplicación de rastreo de contenido.
Juego de caracteres olfateando [ editar ]
Numerosos navegadores web utilizan una forma más limitada de rastreo de contenido para intentar determinar la codificación de caracteres de los archivos de texto para los que ya se conoce el tipo MIME. Esta técnica se conoce como rastreo de conjuntos de caracteres o rastreo de páginas de códigos y, para ciertas codificaciones, también se puede utilizar para eludir las restricciones de seguridad. Por ejemplo, se puede engañar a Internet Explorer 7 para que ejecute JScript eludiendo su política al permitir que el navegador adivine que un archivo HTML está codificado en UTF-7 . [5] Este error se ve agravado por la función de codificación UTF-7 que permite múltiples codificaciones del mismo texto y, específicamente, representaciones alternativas de ASCII. caracteres.
La mayoría de las codificaciones no permiten presentaciones evasivas de caracteres ASCII, por lo que la detección de juegos de caracteres es menos peligrosa en general porque, debido al accidente histórico de la naturaleza centrada en ASCII de los lenguajes de escritura y marcado, los caracteres fuera del repertorio ASCII son más difíciles de eludir. los límites de seguridad y las malas interpretaciones de los conjuntos de caracteres tienden a producir resultados no peores que la visualización de mojibake .
Ver también [ editar ]
Referencias [ editar ]
- ^ "Detección de tipo MIME en Windows Internet Explorer" . Microsoft . Consultado el 14 de julio de 2012 .
- ^ Barth, Adam. "Detección segura de contenido para navegadores web o cómo evitar que los artículos se revisen a sí mismos" (PDF) .
- ^ Henry Sudhof (11 de febrero de 2009). "Risky sniffing: MIME sniffing en Internet Explorer permite ataques de scripting entre sitios" . El H . Consultado el 14 de julio de 2012 .
- ^ Adam Barth, Ian Hickson. "Mime olfateando" . WHATWG . Consultado el 14 de julio de 2012 .
- ^ "Evento 1058 - Detección de página de códigos" . Internet Explorer . MSDN . Consultado el 14 de julio de 2012 .
Enlaces externos [ editar ]
- Estándar de olfateo MIME
- L. Masinter (27 de marzo de 2011). "Tipos de medios de Internet y la Web" . IETF Internet-Draft . Consultado el 14 de julio de 2012 .
- A. Barth, I. Hickson (24 de enero de 2011). "Detección de tipos de medios" . IETF Internet-Draft . Consultado el 14 de julio de 2012 .
- David Risney. "Mime-sniffing" . Consultado el 14 de julio de 2012 .
