Parandus: ERR_BLOCKED_BY_XSS_AUDITOR
Chrome on pidevas aktiivses arendamisel, uute versioonide väljaandmiseks tuleb aeg-ajalt uusi funktsioone ja turbeparandusi. Chrome'i ei kasutata ainult sirvimiseks; seda kasutatakse ka paljude veebiteenuste jaoks, mida arendajad kasutavad.
Hiljutise Chrome 57 versiooniga on XSS-i audiitorituvastus tunduvalt paranenud. Neil olid uued juhised, mille tõttu veebiteenused lakkasid töötamast ja andsid veateate 'ERR_BLOCKED_BY_XSS_AUDITOR '.
Selle tõrketeate põhjuseks on HTML-i sisu saatmine päringu sees POST-meetodi abil. Google Chrome'il on XSS-turvafunktsioon, mis analüüsib vormide kaudu edastatavat HTML-i ja blokeerib need taotlused. Nii ei saadeta vorme kunagi läbi ja välditakse XSS-i ärakasutamist.
Mis põhjustab tõrketeate 'ERR_BLOCKED_BY_XSS_AUDITOR' Chrome'is?
Nagu varem mainitud, uuendas hiljutine Chrome'i versioon XSS-i audiitorit, nii et XSS-i haavatavusi ei kasutata ära. Seetõttu võite saada tõrketeate, kui te pole oma lähtekoodi vastavalt värskendanud.
Enamasti on tegemist valepositiivse juhtumiga, kui brauser usub, et sunnitakse ründama saitidevahelist skriptimist. Need rünnakud tekivad peamiselt siis, kui brauser on meelitatud JavaScripti või HTML-i muutma, mis ei kuulu veebisaidi kuvamisse.
Lahendus (kui haldate veebisaiti)
Kui olete veebisaidi administraator ja see tõrketeade ilmneb tavapärase kasutamise korral, võite proovida selle eemaldada, lisades POST-i päistesse mõned lehe päised. See on ajutine parandus, kuni leiate sobiva alternatiivi, mis haldab XSS-i audiitori taotlust korralikult.
PHP
Lisage PHP-faili järgmine päis:
päis ('X-XSS-kaitse: 0'); ASP.NET
Siin keelame ajutiselt XSS-kaitse, kuni saate oma lähtekoodile lisada õige käitleja.
HttpContext.Response.AddHeader ("X-XSS-kaitse", "0"); Kui konfigureerite faili Web.Config, saate selle asemel lisada järgmise koodi:
[...]
ASP.NET-serveri taotlus kinnitamiseks
Mõnel juhul lükkab server POST-i taotluse tagasi isegi siis, kui oleme nõutud päise lisanud. Teine võimalus on kasutada rakendust „ Request.Unvalidated ”, mis on spetsiaalselt „ohtlike” andmete päringu saamiseks loodud objekt.
var kood = Request.Unvalidated.Form ["code"];
Tõenäoliselt töötab see ainult ASP.NET-i taotluste valideerimise korral .
Kui kasutate veebivorme, võite kasutada järgmist:
Kui kasutate MVC-d, võime kasutada ' [ValidateInput (false)] ', mis on kontrolleri atribuut. Seda tehakse valideerimise vältimiseks.
[ValidateInput (vale)] avalik ActionResult teisendamine (CodeRequesti taotlus) {...} IIS HttpRuntime'i seaded
IIS Expressi kasutab Visual stuudio veebiteenuste jaoks ja see on seni üks enim kasutatud arhitektuure. Kui kasutate ASP.NET, võib IIS teie taotluse blokeerida isegi enne, kui ASP.NET saab kontrolli. Püüame selle välja lülitada veebis.config ja proovime vana käitumise omandada järgmise koodi abil:
Kui me seda ei tee, ebaõnnestub IIS ja lükkab taotluse tagasi juba enne selle edastamist ASP.NET-i.
Märkus. Need ümbersuunamised on head ideed, kui teie veebisait pole juurdepääsetav ja põhjustab teile kahju. Te peaksite alati oma lähtekoodi muutma, et saaksite XSS-i audiitoriga korralikult hakkama saada. Kasutage neid ainult ajutiselt, kuni saate õige lahenduse välja töötada.
Lahendus (kui te ei halda veebisaiti)
Kui olete tavakasutaja ja teil pole veebisaidile juurdepääsu ega halda, võite proovida Chrome'i käivitada ilma XSS-i audiitorita. Loome Google Chrome'i otsetee ja lisame vajalikud lipud, et see meie olukorras käivitada.
- Paremklõpsake töölaual ükskõik kus ja valige Uus> Otsetee .
- Nüüd kleepige järgmised arv read vastavalt arvutisse installitud Google Chrome'i versioonile.
64-bitise Chrome'i jaoks
"C: \ programmifailid \ Google \ Chrome \ rakendus \ chrome.exe" -disable-xss-auditor
32-bitise Chrome'i jaoks
"C: \ programmifailid (x86) \ Google \ Chrome \ rakendus \ chrome.exe" -disable-xss-auditor
- Teie Chrome'i otsetee luuakse nüüd. Proovige nüüd veebisaidile pääseda ja kontrollige, kas tõrketeade on lahendatud.
Märkus. See meetod keelab XSS-i audiitori teie brauseris, mis on turbemehhanismi lahutamatu osa. Jätkake oma vastutusel ja soovitatav on seda funktsiooni kasutada ainult ajutiselt.
