文件上传XSS利用"video/mp2t"内容类型在Safari/Chrome iOS上的研究

技术背景

该安全研究聚焦于在Safari和Chrome iOS浏览器中发现的文件上传漏洞。攻击者通过利用"video/mp2t"内容类型，能够绕过常规的文件上传安全检查，实现跨站脚本（XSS）攻击。

漏洞详情

研究发现，当网站允许用户上传文件时，如果未能正确验证"video/mp2t"（MPEG-2传输流）内容类型，攻击者可以上传恶意构造的文件。这些文件在Safari和Chrome iOS浏览器中被错误解析，导致XSS攻击代码执行。

技术影响

该漏洞的影响范围主要涉及：

• 支持文件上传功能的Web应用程序
• 使用Safari或Chrome浏览器的iOS设备用户
• 依赖于内容类型验证的安全机制

安全建议

开发人员应当实施严格的文件类型验证机制，包括：

• 服务器端文件内容验证
• 多层次的MIME类型检查
• 安全的文件处理流程

该研究已在BugCrowd安全平台公开，为Web安全社区提供了重要的技术参考。