-Type Override 在云存储桶公有可读对象里的坑

很多上传点的防护都放在“上传那一刻”：限制后缀、检查文件头、控制大小、强制写入 

。这些检查当然有用，但它们只覆盖了前半段。

真正容易漏掉的是后半段：文件已经进了对象存储，之后用户访问的往往是一个公开 URL，例如：

https://cdn.target.com/uploads/avatar123.png

这个请求可能不再经过业务后端，也就不会再触发上传接口里的校验逻辑。浏览器最终怎么处理这份文件，主要看响应头。如果攻击者能让响应从 

，同一份内容在浏览器里的意义就完全变了：原本是图片，现在可能变成页面。

这个问题成立有一个关键前提：

上传文件需要能在目标自己的域名下被访问，比如 

。如果只是落在一个无关的存储域名上，影响通常会小很多。

1. 正常访问：服务端说它是图片

假设目标把头像文件放在公开 bucket 里。普通访问时，响应头是干净的：

到这里看起来没问题。上传接口做了限制，返回也确实是图片类型。

2. 加一个参数：响应类型被覆盖

问题出现在读取对象时。某些对象存储或兼容 S3 的服务支持通过查询参数覆盖响应头，例如：

GET /uploads/avatar123.png?response-content-type=text/html HTTP/1.1
Host: cdn.target.com

HTTP/1.1 200 OK
Content-Type: text/html

文件内容没变，路径也没变，只是多了一个参数。但浏览器看到的是 

，于是它不再把这份内容当图片，而是尝试按 

如果上传内容里藏了可执行的 HTML/JS 片段，并且它能绕过上传阶段的文件检查，就可能形成存储型 XSS。

MinIO 支持一组 response header override 参数，其中就包括 

。在公开对象可读的情况下，这个参数可能直接把对象原本的 

参考如下腾讯云的云存储桶 get object的请求参数：

对漏洞测试来说，最直接的验证方式就是看响应头：

curl -I "https://cdn.target.com/uploads/avatar123.png?response-content-type=text/html"

，就说明读取阶段的类型被你控制了。接下来再结合上传点、文件内容和目标域名判断是否能形成有效 XSS。

4. S3 场景：匿名请求会被拦，但不代表没戏

AWS S3 也支持类似的响应头覆盖参数，但匿名 GET 请求不能直接使用。直接拼参数时，通常会看到类似错误：

Request specific response headers cannot be used for anonymous GET requests.


这句话的意思不是“没有这个能力”，而是“匿名请求不能这么用”。如果对象本身是公开可读的，授权测试时可以继续检查预签名 URL 场景：

，再看浏览器最终拿到的响应头。如果对象本身公开可读，任何有效 AWS 身份都可能读取它。授权测试环境里，可以用自己的 AWS 凭证给这个公开对象生成一个 presigned URL

 放进签名参数里。打开签名链接后，再看最终响应头是否变成 HTML。

某些情况下，还可以通过添加任意sign字段绕过，形如

GET /uploads/avatar123.png?response-content-type=text/html&sign=111 HTTP/1.1
Host: cdn.target.com

这个问题不是看到参数生效就一定高危，关键看上下文。

这个案例的价值在于提醒我们：文件上传漏洞不要只盯上传接口。很多时候，真正的问题出在“文件被取出来的那一刻”。

，不代表浏览器最终一定按图片处理；如果读取阶段允许覆盖 

很多上传点的防护都放在“上传那一刻”：限制后缀、检查文件头、控制大小、强制写入 Content-Type。这些检查当然有用，但它们只覆盖了前半段。

SRC 实战|对象存储content-type覆盖导致的cdn域名存储型 XSS

文件上传漏洞测试新思路，云存储桶文件上传结合content-type覆盖导致的cdn域名存储xss

安全

网络与通信

新闻资讯

云存储桶Content-Type覆盖漏洞分析：上传文件时校验Content-Type后，攻击者可能通过response-content-type参数覆盖响应头，将图片转为HTML执行XSS。需检查对象存储读取行为，避免存储型XSS风险。

对象存储

图片处理

云存储

对象存储COS新用户低至1元！


热销域名限时优惠，新客首年免费！


domain

CDN免费试用


2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

SRC 实战|对象存储content-type覆盖导致的cdn域名存储型 XSS

SRC 实战|对象存储content-type覆盖导致的cdn域名存储型 XSS

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐