在浏览关于web应用程序漏洞的材料时，我遇到了一些查询。以下是细节。
>
burp、APPScan等工具根据应用服务器的特定响应标头报告漏洞。我明白有些标题是相互补充的。对于ex:-'content-type'和'x-content-type-options'。如果second设置为'nosniff'，浏览器将根本不会嗅闻响应正文，并将遵守在'content-type'标头中设置的值。类似地，HTTP请求也可以使用“Accept”类型的头指示它期望的响应类型。在这种情况下，如果“x-content-type-options”没有设置为“nosniff”，而对这种响应的请求具有“accept”参数，仅指示媒体类型为text/plain，那么是否需要考虑应用程序易受攻击？
从攻击者的角度来看，您对服务器的整个http请求只不过是一个字符串块。攻击者不太可能使用标准浏览器执行攻击。它更像是一个脚本，只是颠倒http请求，或者是一个代理工具，拦截请求并允许任何形式的修改。“nosniff”标志对这些类型的请求修改并不重要。永远不要信任http请求的内容，因为它们可以由用户完全指定。
