Chrome este în continuă dezvoltare activă, cu noi versiuni lansate din când în când pentru a include funcții și îmbunătățiri de securitate. Chrome nu este folosit doar pentru navigare; este de asemenea utilizat pentru multe servicii web de care utilizatorii dezvoltă.

ERR_BLOCKED_BY_XSS_AUDITOR în Chrome

Odată cu recenta construire Chrome 57, detectarea auditorului XSS a fost îmbunătățită considerabil. Au setat noi linii directoare datorită cărora serviciile web au încetat să funcționeze și au dat mesajul de eroare „ERR_BLOCKED_BY_XSS_AUDITOR ”.

Acest mesaj de eroare este cauzat atunci când conținut HTML este trimis prin metoda POST din interiorul cererii. Google Chrome are o caracteristică de securitate XSS care analizează întotdeauna HTML-ul trimis prin formulare și blochează aceste solicitări. În acest fel, formularele nu sunt trimise niciodată și se evită exploatările XSS.

Ce cauzează mesajul de eroare „ERR_BLOCKED_BY_XSS_AUDITOR” în Chrome?

Așa cum am menționat anterior, recentul proces de construire a Chrome a renovat auditorul XSS, astfel încât vulnerabilitățile XSS nu sunt exploatate. Din această cauză, s-ar putea să primiți mesajul de eroare dacă nu ați actualizat codul sursă în consecință.

De cele mai multe ori, există o falsă pozitivă atunci când browserul consideră că este forțat un atac de „cross-site scripting”. Aceste atacuri apar în principal atunci când browserul este păcălit să redea JavaScript sau HTML care nu face parte din aspectul afișat al site-ului.

Soluție (Dacă administrați site-ul web)

Dacă sunteți administrator de site-uri și acest mesaj de eroare apare atunci când aveți o utilizare normală, puteți încerca să îl eliminați adăugând unele anteturi de pagină în anteturile POST. Aceasta este o soluție temporară până când puteți veni cu o alternativă adecvată care gestionează în mod corespunzător solicitarea auditorului XSS.

PHP

Adăugați următorul antet în fișierul dvs. PHP:

 header ( 'X-XSS-Protection: 0'); 

ASP.NET

Aici dezactivăm temporar protecția XSS până când puteți adăuga manipulatorul corespunzător în codul sursă.

 HttpContext.Response.AddHeader ( "X-XSS-Protection", "0"); 

Dacă configurați fișierul Web.Config, puteți adăuga în schimb următorul cod:

 [...] 

Validare cerere server ASP.NET

În unele cazuri, serverul va respinge cererea POST chiar dacă am adăugat antetul necesar. O altă soluție este să folosiți „ Request.Unvalidated ”, care va fi un obiect creat special pentru a gestiona solicitarea de date „nesigure”.

 cod var = Request.Unvalidated.Form ["cod"]; 

Acest lucru va funcționa cel mai probabil doar pentru validarea solicitării ASP.NET .

Dacă utilizați formulare web, puteți utiliza:

Dacă utilizați MVC, putem folosi „ ValidateInput (fals)] ” care este un atribut al controlerului. Acest lucru este făcut pentru a preveni validarea.

 [ValidateInput (fals)] public ActionResult Convert (cerere CodeRequest) {...} 

Setările IIS HttpRuntime

IIS Express este folosit de Visual Studio pentru servicii web și este una dintre cele mai utilizate arhitecturi până în prezent. Când utilizați ASP.NET, IIS ar putea bloca solicitarea dvs. chiar înainte ca ASP.NET să obțină controlul. Vom încerca să dezactivăm acest lucru în web.config și vom încerca să obținem un comportament vechi folosind următorul cod:

Dacă nu facem acest lucru, IIS va eșua și va respinge solicitarea chiar înainte de a fi transmisă ASP.NET.

Notă: Aceste soluții de rezolvare sunt o idee bună dacă site-ul dvs. web este inaccesibil și vă provoacă o pierdere. Ar trebui să modificați întotdeauna codul sursă, astfel încât să puteți gestiona corect Auditorul XSS. Utilizați-le doar temporar până când puteți rezolva o corecție corectă.

Soluție (Dacă nu administrați site-ul)

Dacă sunteți un utilizator obișnuit și nu aveți acces sau administrare site-ul web, puteți încerca să lansați Chrome fără auditorul XSS. Vom crea o scurtătură de Google Chrome și vom adăuga stegulețele necesare pentru a o lansa în condițiile noastre.

1. Faceți clic dreapta oriunde pe desktop și selectați New> Comandă rapidă .
2. Acum lipiți următoarele linii de cod în funcție de versiunea Google Chrome instalată pe computer.

Pentru Chrome pe 64 de biți

 "C: \ Program Files \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor 

Pentru Chrome pe 32 de biți

 "C: \ Program Files (x86) \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor 

Deschiderea Chrome cu auditorul XSS dezactivat

3. Comanda rapidă Chrome va fi creată acum. Încercați acum să accesați site-ul și verificați dacă mesajul de eroare este rezolvat.

Notă: Această metodă dezactivează auditorul XSS pe browserul dvs. care face parte integrantă din mecanismul de securitate. Vă rugăm să continuați pe propriul risc și vă este recomandat să utilizați această caracteristică doar temporar.