Korjaus: ERR_BLOCKED_BY_XSS_AUDITOR
Chromea kehitetään jatkuvasti aktiivisena, ja uusia versioita julkaistaan silloin tällöin uusien ominaisuuksien ja tietoturvaparannusten lisäämiseksi. Chromea ei käytetä vain selaamiseen; sitä käytetään myös monissa verkkopalveluissa, joita kehittäjät käyttävät.
Äskettäisessä Chrome 57 -versiossa XSS-auditorien havaitseminen parani huomattavasti. Heille asetettiin uudet ohjeet, joiden vuoksi verkkopalvelut lakkasivat toimimasta ja antoivat virheviestin 'ERR_BLOCKED_BY_XSS_AUDITOR '.
Tämä virhesanoma aiheutuu, kun HTML-sisältöä lähetetään POST-menetelmällä pyynnön sisällä. Google Chromessa on XSS-tietoturvaominaisuus, joka analysoi aina lomakkeiden kautta lähetettävän HTML: n ja estää pyynnöt. Tällä tavalla lomakkeita ei koskaan lähetetä läpi ja XSS: n hyväksikäyttöä vältetään.
Mikä aiheuttaa virhesanoman 'ERR_BLOCKED_BY_XSS_AUDITOR' Chromessa?
Kuten aiemmin mainittiin, Chromen viimeaikainen rakennus muutti XSS-tarkastajaa, joten XSS-haavoittuvuuksia ei hyödynnetä. Tämän vuoksi saatat saada virheilmoituksen, jos et ole päivittänyt lähdekoodiasi vastaavasti.
Suurimman osan ajasta on väärä positiivinen, kun selain uskoo "sivustojenvälisten komentosarjojen" hyökkäyksen pakotettavan. Nämä hyökkäykset tapahtuvat pääasiassa, kun selainta huijataan JavaScriptin tai HTML: n tuottamiseen, joka ei ole osa verkkosivuston näyttöasemia.
Ratkaisu (jos ylläpidät verkkosivustoa)
Jos olet verkkosivun järjestelmänvalvoja ja tämä virheilmoitus ilmenee normaalissa käytössä, voit yrittää poistaa sen lisäämällä joitain sivun otsikoita POST-otsikoihin. Tämä on väliaikainen korjaus, kunnes saat oikean vaihtoehdon, joka käsittelee XSS Auditor -pyynnön oikein.
PHP
Lisää seuraava otsikko PHP-tiedostoosi:
header ( 'X-XSS-suojaus: 0');
ASP.NET
Täältä poistamme XSS-suojauksen tilapäisesti käytöstä, kunnes voit lisätä oikean käsittelijän lähdekoodiin.
HttpContext.Response.AddHeader ( "X-XSS-suojaus", "0");
Jos määrität Web.Config- tiedoston, voit lisätä sen sijaan seuraavan koodin:
[...]
ASP.NET-palvelimen pyynnön tarkistus
Joissain tapauksissa palvelin hylkää POST-pyynnön, vaikka olemme lisänneet vaaditun otsikon. Toinen kiertotapa on käyttää ' Request.Unvalidated ', joka on objekti, joka on erityisesti luotu käsittelemään 'vaarallisten' tietopyyntöjen saamista.
var-koodi = Request.Unvalidated.Form ["code"];
Tämä todennäköisesti toimii vain ASP.NET-pyynnön validoinnissa .
Jos käytät verkkolomakkeita, voit käyttää:
Jos käytät MVC: tä, voimme käyttää ' [ValidateInput (false)] ' -ominaisuutta, joka on ohjaimen ominaisuus. Tämä tehdään validoinnin estämiseksi.
[ValidateInput (false)] julkinen ActionResult-muunnos (CodeRequest-pyyntö) {...} IIS HttpRuntime-asetukset
IIS Expressiä käyttää Visual studio verkkopalveluihin ja se on yksi tähän mennessä eniten käytettyjä arkkitehtuureja. Kun käytät ASP.NET: tä, IIS saattaa estää pyyntösi jo ennen kuin ASP.NET saa hallintaansa. Yritämme kytkeä tämän pois päältä web.config- sovelluksessa ja yrittää saada vanhan käytön seuraavalla koodilla:
Jos emme tee tätä, IIS epäonnistuu ja hylkää pyynnön jo ennen sen siirtämistä ASP.NET: lle.
Huomaa: Nämä kiertotavat ovat hyvä idea, jos verkkosivustollesi ei ole pääsyä ja se aiheuttaa sinulle menetyksiä. Sinun on aina muokattava lähdekoodiasi, jotta voit käsitellä XSS Auditoria oikein. Käytä näitä vain väliaikaisesti, kunnes pystyt selvittämään oikean korjauksen.
Ratkaisu (jos et hallinnoi verkkosivustoa)
Jos olet säännöllinen käyttäjä, etkä pääse tai hallitse verkkosivustoa, voit yrittää käynnistää Chromen ilman XSS-tarkastajaa. Luomme Google Chromen pikakuvakkeen ja lisäämme tarvittavat liput sen käynnistämiseksi kunnossa.
- Napsauta hiiren kakkospainikkeella mitä tahansa työpöydän kohtaa ja valitse Uusi> Pikakuvake .
- Liitä nyt seuraavat koodirivit tietokoneellesi asennetun Google Chromen version mukaan.
64-bittiselle Chromelle
"C: \ Ohjelmatiedostot \ Google \ Chrome \ Sovellus \ chrome.exe" -disable-xss-auditor
32-bittiselle Chromelle
"C: \ Ohjelmatiedostot (x86) \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
- Chromen pikakuvake luodaan nyt. Yritä nyt avata verkkosivusto ja tarkista, onko virhesanoma ratkaistu.
Huomaa: Tämä menetelmä estää XSS Auditorin käytöstä selaimellasi, joka on olennainen osa suojausmekanismia. Jatka omalla vastuullasi ja on suositeltavaa käyttää tätä ominaisuutta vain väliaikaisesti.
