Fix: ERR_BLOCKED_BY_XSS_AUDITOR
Chrome er kontinuerlig under aktiv utvikling med nye versjoner utgitt nå og da for å inkludere nye funksjoner og sikkerhetsforbedringer. Chrome brukes ikke bare for surfing; den brukes også til mange webtjenester som utviklere benytter seg av.
Med den nylige Chrome 57-byggingen ble deteksjonen av XSS-revisorer enormt forbedret. De hadde satt nye retningslinjer som nettjenestene sluttet å virke og ga feilmeldingen 'ERR_BLOCKED_BY_XSS_AUDITOR '.
Denne feilmeldingen er forårsaket når HTML-innhold sendes via POST-metoden i forespørselen. Google Chrome har en XSS Security-funksjon som alltid analyserer HTML-en som sendes inn via skjemaer og blokkerer disse forespørslene. På denne måten blir skjemaene aldri sendt gjennom og XSS-utnyttelse unngås.
Hva er årsaken til feilmeldingen 'ERR_BLOCKED_BY_XSS_AUDITOR' i Chrome?
Som nevnt tidligere, den nyere byggingen av Chrome oppusset XSS Auditor slik at XSS-sårbarhetene ikke blir utnyttet. På grunn av dette kan det hende du får feilmeldingen hvis du ikke har oppdatert kildekoden tilsvarende.
Det meste av tiden er det et falskt positivt når nettleseren mener at et "script-scripting" -angrep tvinges frem. Disse angrepene oppstår først og fremst når nettleseren lures til å gjengi JavaScript eller HTML, som ikke er en del av visningsaspektet på nettstedet.
Løsning (hvis du administrerer nettstedet)
Hvis du er en administrator av nettstedet, og denne feilmeldingen oppstår når du bruker en normal bruk, kan du prøve å fjerne den ved å legge til noen sideoverskrifter i POST-overskriftene. Dette er en midlertidig løsning til du kan komme med et riktig alternativ som håndterer XSS Auditor-forespørselen på riktig måte.
PHP
Legg til følgende overskrift i PHP-filen:
header ( 'X-XSS-beskyttelse: 0');
ASP.NET
Her deaktiverer vi XSS-beskyttelsen midlertidig til du kan legge til riktig håndterer i kildekoden din.
HttpContext.Response.AddHeader ( "X-XSS-Protection", "0");
Hvis du konfigurerer Web.Config- filen, kan du legge til følgende kode i stedet:
[...]
ASP.NET Server Be om validering
I noen tilfeller vil serveren avvise POST-forespørselen, selv om vi har lagt til den nødvendige overskriften. En annen løsning er å bruke ' Request.Unvalidated ', som vil være et objekt som er laget spesielt for å håndtere innhenting av 'usikre' dataforespørsler.
var code = Request.Unvalidated.Form ["code"];
Dette vil sannsynligvis bare fungere for ASP.NET Request Validation .
Hvis du bruker webskjemaer, kan du bruke:
Hvis du bruker MVC, kan vi bruke ' [ValidateInput (false)] ' som er et attributt på kontrolleren. Dette gjøres for å forhindre validering.
[ValidateInput (false)] public ActionResult Convert (CodeRequest request) {...} IIS HttpRuntime-innstillinger
IIS Express brukes av Visual studio for webtjenester og er en av de mest brukte arkitekturene til dags dato. Når du bruker ASP.NET, kan IIS blokkere forespørselen din allerede før ASP.NET får kontroll. Vi vil prøve å slå av dette i web.config og prøve å få den gamle oppførselen ved å bruke følgende kode:
Hvis vi ikke gjør dette, vil IIS mislykkes og avvise forespørselen allerede før den sendes videre til ASP.NET.
Merk: Disse løsningene er lurt hvis nettstedet ditt er utilgjengelig og forårsaker tap. Du bør alltid endre kildekoden slik at du kan håndtere XSS Auditor korrekt. Bruk bare disse midlertidig til du kan ordne en ordentlig løsning.
Løsning (hvis du ikke administrerer nettstedet)
Hvis du er en vanlig bruker og ikke har tilgang til eller administrerer nettstedet, kan du prøve å starte Chrome uten XSS Auditor. Vi vil opprette en snarvei med Google Chrome og legge til de nødvendige flaggene for å lansere den i vår tilstand.
- Høyreklikk hvor som helst på skrivebordet ditt og velg Ny> Snarvei .
- Nå lim inn følgende kodelinjer i henhold til versjonen av Google Chrome installert på datamaskinen din.
For 64-biters Chrome
"C: \ Program Files \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
For 32-biters Chrome
"C: \ Program Files (x86) \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
- Chrome-snarveien din blir nå opprettet. Prøv nå å få tilgang til nettstedet og sjekk om feilmeldingen er løst.
Merk: Denne metoden deaktiverer XSS Auditor i nettleseren din, som er en integrert del av sikkerhetsmekanismen. Fortsett på egen risiko, og det anbefales at du bare bruker denne funksjonen midlertidig.
