Chrome, şu anda piyasaya sürülen yeni sürümlerle ve daha sonra yeni özellikler ve güvenlik geliştirmeleriyle birlikte sürekli olarak geliştirilme aşamasındadır. Chrome sadece tarama için kullanılmaz; Ayrıca, geliştiricilerin yararlandığı birçok web hizmeti için de kullanılır.

ERR_BLOCKED_BY_XSS_AUDITOR Chrome'da

En son Chrome 57 sürümüyle, XSS denetçisi algılaması büyük ölçüde iyileştirildi. Web servislerinin çalışmayı durdurduğu ve 'ERR_BLOCKED_BY_XSS_AUDITOR ' hata mesajını verdiği için yeni kurallar belirlediler.

Bu hata mesajı, HTML içeriği istek içindeki POST yöntemi ile gönderilirken ortaya çıkar. Google Chrome, formlar aracılığıyla gönderilen HTML’yi her zaman analiz eden ve bu istekleri engelleyen bir XSS Güvenliği özelliğine sahiptir. Bu şekilde, formlar asla gönderilmez ve XSS istismarlarından kaçınılır.

Chrome'daki 'ERR_BLOCKED_BY_XSS_AUDITOR' hata mesajına ne sebep olur?

Daha önce de belirtildiği gibi, yakın tarihli Chrome derlemesi XSS Denetçisini yeniledi ve XSS açıklarından yararlanılmadı. Bu nedenle, kaynak kodunuzu uygun şekilde güncellemediyseniz hata mesajını alabilirsiniz.

Çoğu zaman, tarayıcı bir 'siteler arası komut dosyası çalıştırma' saldırısının zorlandığına inandığında yanlış bir pozitif vardır. Bu saldırılar öncelikle, tarayıcı web sitesinin görünümünün bir parçası olmayan JavaScript veya HTML oluşturmak için kandırıldığında ortaya çıkar.

Çözüm (Web sitesini yönetirseniz)

Bir web sitesi yöneticisiyseniz ve normal bir kullanımda bu hata mesajı oluşuyorsa, POST başlıklarına bazı sayfa başlıkları ekleyerek onu kaldırmayı deneyebilirsiniz. Bu, XSS Denetçi talebini doğru bir şekilde yerine getiren uygun bir alternatif bulabileceğinize kadar geçici bir çözümdür.

PHP

PHP dosyanıza aşağıdaki başlığı ekleyin:

 başlık (X-XSS Koruma: 0 '); 

ASP.NET

Burada, kaynak kodunuza uygun işleyici ekleyene kadar XSS korumasını geçici olarak devre dışı bırakıyoruz.

 HttpContext.Response.AddHeader ( "X-XSS-koruma", "0"); 

Web.Config dosyasını yapılandırıyorsanız, bunun yerine aşağıdaki kodu ekleyebilirsiniz:

 [...] 

ASP.NET Sunucu İsteği Doğrulaması

Bazı durumlarda, gerekli başlığı ekledik bile, sunucu POST isteğini reddeder. Diğer bir geçici çözüm, 'güvenli olmayan' veri isteğinin elde edilmesini işlemek için özel olarak oluşturulan bir nesne olacak ' Request.Unvalidated ' seçeneğini kullanmaktır.

 var code = Request.Unvalidated.Form ["code"]; 

Bu büyük olasılıkla yalnızca ASP.NET İstek Doğrulaması için çalışacaktır.

Web formları kullanıyorsanız, şunları kullanabilirsiniz:

MVC'yi kullanıyorsanız, denetleyicideki bir nitelik olan ' [ValidateInput (false)] ' öğesini kullanabiliriz. Bu doğrulama önlemek için yapılır.

 [ValidateInput (false)] public ActionResult Dönüştürme (CodeRequest isteği) {...} 

IIS HttpRuntime Ayarları

IIS Express, Visual Studio tarafından web servisleri için kullanılır ve bugüne kadar en çok kullanılan mimarlardan biridir. ASP.NET kullanırken, ASP.NET denetimi eline geçmeden önce IIS isteğinizi engelleyebilir. Bunu web.config dosyasında kapatmayı deneyeceğiz ve aşağıdaki kodu kullanarak eski davranışı kazanmaya çalışacağız:

Bunu yapmazsak, IIS ASP.NET'e iletilmeden önce isteği reddeder ve isteği reddeder.

Not: Web sitenize erişilemiyorsa ve size bir kayıp veriyorsa, bu geçici çözümler iyi bir fikirdir. Kaynak kodunuzu her zaman değiştirmelisiniz, böylece XSS Denetçisini uygun şekilde kullanabilirsiniz. Bunları yalnızca uygun bir düzeltmeyi çözene kadar geçici olarak kullanın.

Çözüm (Web sitesini yönetmiyorsanız)

Normal bir kullanıcıysanız ve web sitesine erişemiyorsanız veya yönetmiyorsanız, XSS Denetçisi olmadan Chrome'u başlatmayı deneyebilirsiniz. Google Chrome'un bir kısayolunu oluşturacağız ve bizim durumumuzda başlatmak için gerekli bayrakları ekleyeceğiz.

1. Masaüstünde herhangi bir yere sağ tıklayın ve Yeni> Kısayol'u seçin.
2. Şimdi aşağıdaki kod satırlarını, bilgisayarınızda yüklü olan Google Chrome sürümüne göre yapıştırın.

64 bit Chrome için

 "C: \ Program Dosyaları \ Google \ Chrome \ Uygulama \ chrome.exe" -disable-xss-auditor 

32 bit Chrome için

 "C: \ Program Dosyaları (x86) \ Google \ Chrome \ Uygulama \ chrome.exe" -disable-xss-auditor 

Chrome'u XSS Auditor Disabled ile Açma

3. Chrome kısayolunuz şimdi oluşturulacak. Şimdi web sitesine erişmeyi deneyin ve hata mesajının çözülüp çözülmediğini kontrol edin.

Not: Bu yöntem, güvenlik mekanizmasının ayrılmaz bir parçası olan tarayıcınızdaki XSS Denetleyicisini devre dışı bırakıyor. Lütfen kendi sorumluluğunuzdadır devam edin ve bu özelliği yalnızca geçici olarak kullanmanız önerilir.