Chrome sentiasa berada di bawah perkembangan aktif dengan versi baru yang dikeluarkan setiap masa dan kemudian memasukkan ciri-ciri baru dan penambahbaikan keselamatan. Chrome tidak hanya digunakan untuk melayari; ia juga digunakan untuk banyak perkhidmatan web yang digunakan pemaju.

ERR_BLOCKED_BY_XSS_AUDITOR dalam Chrome

Dengan dibina Chrome 57 baru-baru ini, pengesanan pemeriksa XSS jauh lebih baik. Mereka mempunyai garis panduan baru kerana perkhidmatan webnya berhenti berfungsi dan memberikan mesej ralat 'ERR_BLOCKED_BY_XSS_AUDITOR '.

Mesej ralat ini disebabkan apabila kandungan HTML dihantar melalui kaedah POST di dalam permintaan. Google Chrome mempunyai ciri Keselamatan XSS yang sentiasa menganalisis HTML yang diserahkan melalui borang dan menghalang permintaan tersebut. Dengan cara ini, borang tidak dihantar dan eksploitasi XSS dielakkan.

Apa yang menyebabkan mesej ralat 'ERR_BLOCKED_BY_XSS_AUDITOR' di Chrome?

Seperti yang dinyatakan sebelum ini, membina Chrome yang baru - baru ini mengubah XSS Auditor supaya kelemahan XSS tidak dieksploitasi. Oleh sebab itu, anda mungkin menerima mesej ralat jika anda tidak memperbarui kod sumber anda dengan sewajarnya.

Kebanyakan masa, terdapat tanda positif yang salah apabila penyemak imbas percaya bahawa serangan 'penyebaran skrip' sedang dipaksa. Serangan ini berlaku terutamanya apabila penyemak imbas ditipu ke JavaScript atau HTML yang tidak termasuk aspek paparan laman web.

Penyelesaian (Jika anda mentadbir laman web tersebut)

Jika anda seorang pentadbir laman web dan mesej ralat ini berlaku apabila anda mempunyai penggunaan biasa, anda boleh cuba mengeluarkannya dengan menambah beberapa tajuk halaman ke tajuk POST. Ini adalah pembetulan sementara sehingga anda boleh datang dengan alternatif yang tepat yang mengendalikan permintaan Auditor XSS.

PHP

Tambah tajuk berikut dalam fail PHP anda:

 header ('X-XSS-Protection: 0'); 

ASP.NET

Di sini kita melumpuhkan perlindungan XSS buat sementara waktu sehingga anda boleh menambah pengendali tepat di kod sumber anda.

 HttpContext.Response.AddHeader ("X-XSS-Protection", "0"); 

Sekiranya anda mengkonfigurasi fail Web.Config, anda boleh menambah kod berikut:

 [...] 

Permintaan Permintaan Server ASP.NET

Dalam sesetengah kes, pelayan akan menolak permintaan POST walaupun kami telah menambahkan tajuk yang diperlukan. Satu lagi workaround adalah menggunakan ' Request.Uvalidated ' yang akan menjadi objek yang dibuat khusus untuk menangani permintaan data 'tidak selamat'.

 var code = Request.Unvalidated.Form ["code"]; 

Ini kemungkinan besar hanya berfungsi untuk Pengesahan Permintaan ASP.NET .

Sekiranya anda menggunakan borang web, anda boleh menggunakan:

Jika anda menggunakan MVC, kami boleh menggunakan ' [ValidateInput (false)] ' yang merupakan atribut pada pengawal. Ini dilakukan untuk mencegah pengesahan.

 [ValidateInput (false)] Tindakan AwamResult Convert (permintaan CodeRequest) {...} 

Tetapan HttpRuntime IIS

IIS Express digunakan oleh Visual studio untuk perkhidmatan web dan merupakan salah satu seni bina yang paling banyak digunakan hingga saat ini. Apabila anda menggunakan ASP.NET, IIS mungkin menyekat permintaan anda walaupun sebelum kawalan ASP.NET diperoleh. Kami akan cuba mematikannya dalam web.config dan cuba mendapatkan tingkah laku lama dengan menggunakan kod berikut:

Sekiranya kita tidak melakukan ini, IIS akan gagal dan menolak permintaan tersebut sebelum dihantar kepada ASP.NET.

Nota: Penyelesaian ini adalah idea yang baik jika tapak web anda tidak boleh diakses dan menyebabkan anda kehilangan. Anda harus sentiasa mengubah suai kod sumber anda supaya anda boleh mengendalikan Auditor XSS dengan betul. Hanya gunakan ini buat sementara waktu sehingga anda boleh melakukan pembetulan yang betul.

Penyelesaian (Jika anda tidak mentadbir laman web tersebut)

Jika anda seorang pengguna biasa dan tidak mempunyai akses atau mentadbir laman web, anda boleh mencuba melancarkan Chrome tanpa Pemeriksa XSS. Kami akan mencipta pintasan Google Chrome dan menambah bendera yang diperlukan untuk melancarkannya dalam keadaan kami.

1. Klik kanan mana-mana sahaja di desktop anda dan pilih New> Shortcut .
2. Sekarang tampal baris berikut kod mengikut versi Google Chrome yang dipasang pada komputer anda.

Untuk Chrome 64-bit

 "C: \ Program Files \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor 

Untuk Chrome 32-bit

 "C: \ Program Files (x86) \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor 

Membuka Chrome dengan XSS Auditor Disabled

3. Pintasan Chrome anda kini akan dibuat. Sekarang cuba akses laman web dan semak jika mesej ralat diselesaikan.

Nota: Kaedah ini melumpuhkan Auditor XSS pada penyemak imbas anda yang merupakan sebahagian daripada mekanisme keselamatan. Sila teruskan risiko anda sendiri dan disyorkan bahawa anda hanya menggunakan ciri ini buat sementara waktu.