Oplossing: ERR_BLOCKED_BY_XSS_AUDITOR
Chrome is voortdurend in ontwikkeling met nieuwe versies die zo nu en dan worden uitgebracht met nieuwe functies en beveiligingsverbeteringen. Chrome wordt niet alleen gebruikt om te browsen; het wordt ook gebruikt voor veel webservices waar ontwikkelaars gebruik van maken.
Met de recente Chrome 57-build is de detectie van de XSS-auditor enorm verbeterd. Ze hadden nieuwe richtlijnen ingesteld waardoor de webservices niet meer werkten en gaven de foutmelding 'ERR_BLOCKED_BY_XSS_AUDITOR '.
Dit foutbericht wordt veroorzaakt wanneer HTML-inhoud wordt verzonden via de POST-methode binnen het verzoek. Google Chrome heeft een XSS-beveiligingsfunctie die altijd de HTML analyseert die via formulieren wordt ingediend en die verzoeken blokkeert. Op deze manier worden de formulieren nooit doorgestuurd en worden XSS-exploits vermeden.
Wat veroorzaakt de foutmelding 'ERR_BLOCKED_BY_XSS_AUDITOR' in Chrome?
Zoals eerder vermeld, vernieuwde de recente build van Chrome de XSS Auditor zodat de XSS-kwetsbaarheden niet worden misbruikt. Hierdoor kan het foutbericht worden weergegeven als u uw broncode niet dienovereenkomstig hebt bijgewerkt.
Meestal is er een vals positief wanneer de browser gelooft dat een 'cross-site scripting'-aanval wordt gedwongen. Deze aanvallen treden voornamelijk op wanneer de browser wordt misleid met het weergeven van JavaScript of HTML die geen deel uitmaakt van het weergaveaspect van de website.
Oplossing (als u de website beheert)
Als u een websitebeheerder bent en dit foutbericht verschijnt wanneer u normaal gebruik maakt, kunt u proberen het te verwijderen door enkele paginakopteksten toe te voegen aan de POST-kopteksten. Dit is een tijdelijke oplossing totdat u met een goed alternatief kunt komen dat het XSS Auditor-verzoek goed afhandelt.
PHP
Voeg de volgende koptekst toe aan uw PHP-bestand:
header ( 'X-XSS-Protection: 0');
ASP.NET
Hier schakelen we de XSS-beveiliging tijdelijk uit totdat u de juiste handler in uw broncode kunt toevoegen.
HttpContext.Response.AddHeader ( "X-XSS-Protection", "0");
Als u het bestand Web.Config configureert, kunt u in plaats daarvan de volgende code toevoegen:
[...]
ASP.NET Server-aanvraagvalidatie
In sommige gevallen weigert de server het POST-verzoek, zelfs als we de vereiste header hebben toegevoegd. Een andere oplossing is om ' Request.Unvalidated ' te gebruiken, een object dat specifiek is gemaakt om het verkrijgen van een 'onveilig' gegevensverzoek te verwerken.
var code = Request.Unvalidated.Form ["code"];
Dit zal waarschijnlijk alleen werken voor ASP.NET Request Validation .
Als u webformulieren gebruikt, kunt u het volgende gebruiken:
Als u gebruik maakt van MVC, kunnen we gebruik maken van ' [ValidateInput (false)] ', een kenmerk van de controller. Dit wordt gedaan om validatie te voorkomen.
[ValidateInput (false)] Public ActionResult Convert (CodeRequest-verzoek) {...} IIS HttpRuntime-instellingen
IIS Express wordt door Visual Studio gebruikt voor webservices en is tot op heden een van de meest gebruikte architecturen. Wanneer u ASP.NET gebruikt, kan IIS uw verzoek blokkeren, zelfs voordat ASP.NET controle krijgt. We zullen proberen dit uit te schakelen in web.config en proberen het oude gedrag te verkrijgen met behulp van de volgende code:
Als we dit niet doen, zal IIS mislukken en het verzoek weigeren, zelfs voordat het wordt doorgegeven aan ASP.NET.
Opmerking: deze tijdelijke oplossingen zijn een goed idee als uw website ontoegankelijk is en verlies veroorzaakt. U moet altijd uw broncode wijzigen, zodat u de XSS Auditor correct kunt verwerken. Gebruik deze slechts tijdelijk totdat u een goede oplossing kunt vinden.
Oplossing (als u de website niet beheert)
Als u een gewone gebruiker bent en geen toegang hebt tot of de website beheert, kunt u proberen Chrome te starten zonder de XSS Auditor. We zullen een snelkoppeling van Google Chrome maken en de benodigde vlaggen toevoegen om het in onze staat te starten.
- Klik met de rechtermuisknop ergens op uw bureaublad en selecteer Nieuw> Snelkoppeling .
- Plak nu de volgende coderegels volgens de versie van Google Chrome die op uw computer is geïnstalleerd.
Voor 64-bit Chrome
"C: \ Program Files \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
Voor 32-bit Chrome
"C: \ Program Files (x86) \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
- Uw Chrome-snelkoppeling wordt nu gemaakt. Probeer nu de website te bezoeken en controleer of het foutbericht is opgelost.
Opmerking: Met deze methode wordt XSS Auditor in uw browser uitgeschakeld, een integraal onderdeel van het beveiligingsmechanisme. Ga op eigen risico verder en het wordt aanbevolen om deze functie slechts tijdelijk te gebruiken.
