Khắc phục: ERR_BLOCKED_BY_XSS_AUDITOR
Chrome liên tục được phát triển tích cực với các phiên bản mới được phát hành mỗi giờ và sau đó bao gồm các tính năng mới và cải tiến bảo mật. Chrome không chỉ được sử dụng để duyệt; nó cũng được sử dụng cho nhiều dịch vụ web mà các nhà phát triển sử dụng.
Với bản dựng Chrome 57 gần đây, phát hiện kiểm toán viên XSS đã được cải thiện rất nhiều. Họ đã thiết lập các nguyên tắc mới do các dịch vụ web ngừng hoạt động và đưa ra thông báo lỗi 'ERR_BLOCKED_BY_XSS_AUDITOR '.
Thông báo lỗi này được gây ra khi nội dung HTML được gửi qua phương thức POST bên trong yêu cầu. Google Chrome có tính năng Bảo mật XSS, luôn phân tích HTML được gửi qua biểu mẫu và chặn các yêu cầu đó. Bằng cách này, các biểu mẫu không bao giờ được gửi qua và khai thác XSS được tránh.
Điều gì gây ra thông báo lỗi 'ERR_BLOCKED_BY_XSS_AUDITOR' trong Chrome?
Giống như đã đề cập trước đó, bản dựng Chrome gần đây đã cải tiến Trình kiểm tra XSS để các lỗ hổng XSS không bị khai thác. Do đó, bạn có thể nhận được thông báo lỗi nếu bạn chưa cập nhật mã nguồn phù hợp.
Hầu hết thời gian, có một sự tích cực sai khi trình duyệt tin rằng một cuộc tấn công 'kịch bản chéo trang' đang bị ép buộc. Các cuộc tấn công này chủ yếu xảy ra khi trình duyệt bị lừa hiển thị JavaScript hoặc HTML không phải là một phần của khía cạnh hiển thị của trang web.
Giải pháp (Nếu bạn quản trị trang web)
Nếu bạn là quản trị viên trang web và thông báo lỗi này xảy ra khi bạn đang sử dụng bình thường, bạn có thể thử xóa nó bằng cách thêm một số tiêu đề trang vào tiêu đề POST. Đây là một sửa chữa tạm thời cho đến khi bạn có thể đi kèm với một giải pháp thay thế phù hợp xử lý đúng yêu cầu Kiểm toán viên XSS.
PHP
Thêm tiêu đề sau trong tệp PHP của bạn:
tiêu đề ('X-XSS-Bảo vệ: 0'); ASP.NET
Ở đây chúng tôi tạm thời vô hiệu hóa bảo vệ XSS cho đến khi bạn có thể thêm trình xử lý thích hợp trong mã nguồn của mình.
HttpContext.Response.AddHeader ("Bảo vệ X-XSS", "0"); Nếu bạn đang định cấu hình tệp Web.Config, bạn có thể thêm mã sau đây:
[...]
Xác thực yêu cầu máy chủ ASP.NET
Trong một số trường hợp, máy chủ sẽ từ chối yêu cầu POST ngay cả khi chúng tôi đã thêm tiêu đề bắt buộc. Một cách giải quyết khác là sử dụng ' Request.Unvalidated ', đây sẽ là một đối tượng được tạo riêng để xử lý việc nhận được yêu cầu dữ liệu 'không an toàn'.
mã var = Request.Unvalidated.Form ["code"];
Điều này có lẽ sẽ chỉ hoạt động cho Xác thực Yêu cầu ASP.NET .
Nếu bạn đang sử dụng các biểu mẫu web, bạn có thể sử dụng:
Nếu bạn đang sử dụng MVC, chúng tôi có thể sử dụng ' [ValidateInput (false)] ' là một thuộc tính trên bộ điều khiển. Điều này được thực hiện để ngăn chặn xác nhận.
[ValidateInput (false)] công khai ActionResult Convert (yêu cầu CodeRequest) {...} Cài đặt IIS httpR.78
IIS Express được sử dụng bởi Visual studio cho các dịch vụ web và là một trong những kiến trúc được sử dụng nhiều nhất cho đến nay. Khi bạn đang sử dụng ASP.NET, IIS có thể chặn yêu cầu của bạn ngay cả trước khi ASP.NET giành quyền kiểm soát. Chúng tôi sẽ cố gắng tắt tính năng này trong web.config và cố gắng đạt được hành vi cũ bằng mã sau:
Nếu chúng ta không làm điều này, IIS sẽ thất bại và từ chối yêu cầu ngay cả trước khi nó được chuyển sang ASP.NET.
Lưu ý: Những cách giải quyết này là ý tưởng tốt nếu trang web của bạn không thể truy cập được và khiến bạn thua lỗ. Bạn phải luôn sửa đổi mã nguồn của mình để có thể xử lý Trình kiểm tra XSS đúng cách. Chỉ sử dụng tạm thời cho đến khi bạn có thể tìm ra cách khắc phục thích hợp.
Giải pháp (Nếu bạn không quản trị trang web)
Nếu bạn là người dùng thường xuyên và không có quyền truy cập hoặc quản trị trang web, bạn có thể thử khởi chạy Chrome mà không cần Trình kiểm tra XSS. Chúng tôi sẽ tạo một lối tắt của Google Chrome và thêm các cờ cần thiết để khởi chạy nó trong điều kiện của chúng tôi.
- Nhấp chuột phải vào bất cứ nơi nào trên máy tính để bàn của bạn và chọn Mới> Phím tắt .
- Bây giờ, dán các dòng mã sau theo phiên bản Google Chrome được cài đặt trên máy tính của bạn.
Dành cho Chrome 64 bit
"C: \ Tệp chương trình \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
Dành cho Chrome 32 bit
"C: \ Tệp chương trình (x86) \ Google \ Chrome \ Application \ chrome.exe" -disable-xss-auditor
- Phím tắt Chrome của bạn bây giờ sẽ được tạo. Bây giờ hãy thử truy cập trang web và kiểm tra xem thông báo lỗi đã được giải quyết chưa.
Lưu ý: Phương pháp này đang vô hiệu hóa Trình kiểm tra XSS trên trình duyệt của bạn, đây là một phần không thể thiếu của cơ chế bảo mật. Vui lòng tự chịu rủi ro và bạn chỉ nên sử dụng tính năng này tạm thời.
