Labojums: ERR_BLOCKED_BY_XSS_AUDITOR
Pārlūks Chrome tiek aktīvi attīstīts, ik pa laikam izlaižot jaunas versijas, lai iekļautu jaunas funkcijas un drošības uzlabojumus. Chrome tiek izmantots ne tikai pārlūkošanai; to izmanto arī daudziem tīmekļa pakalpojumiem, kurus izstrādātāji izmanto.
Ar neseno Chrome 57 versiju XSS auditoru noteikšana tika ievērojami uzlabota. Viņiem bija noteiktas jaunas vadlīnijas, kuru dēļ tīmekļa pakalpojumi pārstāja darboties un sniedza kļūdas ziņojumu “ERR_BLOCKED_BY_XSS_AUDITOR ”.
Šis kļūdas ziņojums rodas, kad HTML saturs pieprasījumā tiek nosūtīts, izmantojot POST metodi. Google Chrome ir XSS drošības funkcija, kas vienmēr analizē HTML, kas tiek iesniegta, izmantojot veidlapas, un bloķē šos pieprasījumus. Tādā veidā veidlapas nekad netiek nosūtītas cauri un tiek izvairīts no XSS izmantošanas.
Kas izraisa kļūdas ziņojumu “ERR_BLOCKED_BY_XSS_AUDITOR” pārlūkā Chrome?
Tāpat kā minēts iepriekš, nesenā pārlūka Chrome versija atjaunoja XSS auditoru, tāpēc XSS ievainojamības netiek izmantotas. Sakarā ar to, iespējams, saņemat kļūdas ziņojumu, ja neesat attiecīgi atjauninājis savu avota kodu.
Lielākoties ir kļūdaini pozitīvs, ja pārlūkprogramma uzskata, ka tiek piespiests “vietņu skriptu veidošanas” uzbrukums. Šie uzbrukumi galvenokārt rodas, ja pārlūkprogrammā tiek mēģināts padarīt JavaScript vai HTML, kas neietilpst vietnes attēlojuma aspektā.
Risinājums (ja administrējat vietni)
Ja esat vietnes administrators un šis kļūdas ziņojums parādās normālas lietošanas laikā, varat mēģināt to noņemt, POST galvenēs pievienojot dažas lapu galvenes. Tas ir pagaidu labojums, līdz jūs varat nākt ar atbilstošu alternatīvu, kas pareizi apstrādā XSS revidenta pieprasījumu.
PHP
Pievienojiet PHP failā šādu galveni:
galvene ('X-XSS-aizsardzība: 0'); ASP.NET
Šeit mēs uz laiku atspējojam XSS aizsardzību, līdz avota kodā varat pievienot pareizu apstrādātāju.
HttpContext.Response.AddHeader ("X-XSS-Protection", "0"); Ja konfigurējat failu Web.Config, tā vietā varat pievienot šādu kodu:
[...]
ASP.NET servera pieprasījuma validācija
Dažos gadījumos serveris noraidīs POST pieprasījumu, pat ja mēs būsim pievienojuši nepieciešamo galveni. Vēl viens risinājums ir izmantot “ Request.Unvalidated ”, kas būs objekts, kas izveidots speciāli, lai apstrādātu “nedrošu” datu pieprasījumu.
var kods = Request.Unvalidated.Form ["code"];
Visticamāk, tas darbosies tikai ASP.NET pieprasījuma validācijai .
Ja izmantojat tīmekļa veidlapas, varat izmantot:
Ja jūs izmantojat MVC, mēs varam izmantot “ [ValidateInput (false)] ”, kas ir kontroliera atribūts. Tas tiek darīts, lai novērstu validāciju.
[ValidateInput (viltus)] publiska ActionResult konvertēšana (CodeRequest pieprasījums) {...} IIS HttpRuntime iestatījumi
IIS Express Web pakalpojumus izmanto Visual studio, un tā ir viena no līdz šim visvairāk izmantotajām arhitektūrām. Kad jūs izmantojat ASP.NET, IIS var bloķēt jūsu pieprasījumu pat pirms ASP.NET iegūst kontroli. Mēs mēģināsim to izslēgt vietnē web.config un mēģināsim iegūt iepriekšējo uzvedību, izmantojot šo kodu:
Ja mēs to nedarīsim, IIS neizdosies un noraidīs pieprasījumu pat pirms tā pārsūtīšanas uz ASP.NET.
Piezīme: šie risinājumi ir laba ideja, ja jūsu vietne nav pieejama un rada jums zaudējumus. Jums vienmēr jāmaina avota kods, lai jūs varētu pareizi rīkoties ar XSS auditoru. Izmantojiet tos tikai uz laiku, līdz varēsit noteikt pareizu labojumu.
Risinājums (ja jūs ne administrējat vietni)
Ja esat parasts lietotājs un jums nav piekļuves vietnei vai to administrējat, varat mēģināt palaist pārlūku Chrome bez XSS revidenta. Mēs izveidosim Google Chrome saīsni un pievienosim nepieciešamos karodziņus, lai to palaistu mūsu stāvoklī.
- Ar peles labo pogu noklikšķiniet uz jebkura darbvirsmas un atlasiet Jauns> Saīsne .
- Tagad ielīmējiet šīs koda rindiņas atbilstoši datorā instalētajai Google Chrome versijai.
64 bitu pārlūkam Chrome
"C: \ Program Files \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
32 bitu pārlūkam Chrome
"C: \ Program Files (x86) \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
- Tagad tiks izveidots jūsu Chrome saīsne. Tagad mēģiniet piekļūt vietnei un pārbaudiet, vai kļūdas ziņojums ir novērsts.
Piezīme: ar šo metodi tiek atspējots XSS revidents jūsu pārlūkprogrammā, kas ir drošības mehānisma neatņemama sastāvdaļa. Lūdzu, turpiniet uz savu risku, un ieteicams šo funkciju izmantot tikai īslaicīgi.
