Popravek: ERR_BLOCKED_BY_XSS_AUDITOR
Chrome je nenehno v aktivnem razvoju. Zdaj se izhajajo nove različice, ki vključujejo nove funkcije in varnostne izboljšave. Chrome se ne uporablja samo za brskanje; uporablja se tudi za številne spletne storitve, ki jih uporabljajo razvijalci.
Z zadnjo postavitvijo Chrome 57 je bilo odkrivanje revizorja XSS izjemno izboljšano. Nastavili so nove smernice, zaradi katerih so spletne storitve prenehale delovati in poslale sporočilo o napaki „ERR_BLOCKED_BY_XSS_AUDITOR “.
To sporočilo o napaki nastane, ko se vsebina HTML pošlje po metodi POST znotraj zahteve. Google Chrome ima varnostno funkcijo XSS, ki vedno analizira HTML, ki se pošlje prek obrazcev, in blokira te zahteve. Tako se obrazci nikoli ne pošiljajo in se izogibajo podvigov XSS.
Kaj povzroča sporočilo o napaki »ERR_BLOCKED_BY_XSS_AUDITOR« v Chromu?
Kot že omenjeno, je tudi nedavna gradnja Chroma prenovila revizor XSS, tako da ranljivosti XSS niso izkoriščene. Zaradi tega boste morda prejeli sporočilo o napaki, če ne ustrezno posodobite svoje izvorne kode.
Večino časa je lažno pozitivno, ko brskalnik verjame, da je prisiljen napad "skriptnih skript". Ti napadi se pojavijo predvsem, ko je brskalnik nataknjen k upodabljanju JavaScript ali HTML, ki ni del prikaza strani spletnega mesta.
Rešitev (če upravljate spletno mesto)
Če ste skrbnik spletnega mesta in se ob običajni uporabi pojavlja to sporočilo o napaki, ga lahko poskusite odstraniti tako, da v glave POST dodate nekaj glav strani. To je začasen popravek, dokler ne najdete ustrezne alternative, ki pravilno obravnava zahtevo XSS Auditor.
PHP
V datoteko PHP dodajte naslednjo glavo:
glava ('X-XSS-zaščita: 0'); ASP.NET
Tu začasno onemogočimo zaščito XSS, dokler v izvorno kodo ne morete dodati ustreznega upravljalca.
HttpContext.Response.AddHeader ("zaščita X-XSS", "0"); Če konfigurirate datoteko Web.Config, lahko namesto tega dodate to kodo:
[...]
Preverjanje zahteve za strežnik ASP.NET
V nekaterih primerih bo strežnik zavrnil zahtevo POST, tudi če smo dodali zahtevano glavo. Druga rešitev je uporaba " Request.Unvalified ", ki bo predmet, ustvarjen posebej za obravnavo pridobitve "nevarne" zahteve za podatke.
var code = Request.Unvalidated.Form ["koda"];
Najverjetneje bo to delovalo samo za preverjanje zahteve ASP.NET .
Če uporabljate spletne obrazce, lahko uporabite:
Če uporabljate MVC, lahko uporabimo " [ValidateInput (false)] ", ki je atribut na regulatorju. To se naredi, da se prepreči potrjevanje.
[ValidateInput (false)] javno ActionResult Convert (zahtevek CodeRequest) {...} IIS HttpRuntime Settings
IIS Express uporablja Visual studio za spletne storitve in je ena najbolj uporabljanih arhitektur do danes. Ko uporabljate ASP.NET, lahko IIS vašo zahtevo blokira, še preden ASP.NET pridobi nadzor. To bomo poskušali izklopiti v web.config in skušali pridobiti staro vedenje z naslednjo kodo:
Če tega ne storimo, IIS ne bo uspel in zavrnil zahtevo, še preden bo posredovana ASP.NET.
Opomba: Te rešitve so dobra ideja, če je vaše spletno mesto nedostopno in vam povzroča izgubo. Vedno morate spremeniti svojo izvorno kodo, da boste lahko pravilno ravnali z revizorjem XSS. Uporabljajte jih samo začasno, dokler ne boste uspeli pravilno popraviti.
Rešitev (če spletnega mesta ne upravljate)
Če ste običajen uporabnik in nimate dostopa ali upravljate spletno mesto, lahko poskusite zagnati Chrome brez revizorja XSS. Ustvarili bomo bližnjico Google Chrome in dodali potrebne zastavice, da ga bomo sprožili v našem stanju.
- Z desno miškino tipko kliknite kjer koli na namizju in izberite Novo> Bližnjica .
- Zdaj prilepite naslednje vrstice kode glede na različico Google Chroma, nameščeno v računalniku.
Za 64-bitni Chrome
"C: \ programske datoteke \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
Za 32-bitni Chrome
"C: \ programske datoteke (x86) \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
- Vaša bližnjica za Chrome bo zdaj ustvarjena. Zdaj poskusite dostopati do spletnega mesta in preverite, ali je sporočilo o napaki odpravljeno.
Opomba: Ta metoda onemogoči XSS Auditor v vašem brskalniku, ki je sestavni del varnostnega mehanizma. Nadaljujte na lastno odgovornost in priporočamo, da to funkcijo uporabljate samo začasno.
