修正：ERR_BLOCKED_BY_XSS_AUDITOR

Chromeは常に活発に開発されており、新しいバージョンが時々リリースされ、新しい機能やセキュリティの改善が含まれています。 Chromeはブラウジングに使用されるだけではありません。また、開発者が利用する多くのWebサービスにも使用されます。

最近のChrome57ビルドでは、XSS監査人の検出が大幅に改善されました。新しいガイドラインが設定されたため、Webサービスが機能しなくなり、エラーメッセージ‘ERR_BLOCKED_BY_XSS_AUDITOR が表示されました。 ’。

このエラーメッセージは、HTMLコンテンツがリクエスト内のPOSTメソッドを介して送信されている場合に発生します。 Google ChromeにはXSSセキュリティ機能があり、フォームを介して送信されたHTMLを常に分析し、それらのリクエストをブロックします。このように、フォームが送信されることはなく、XSSの悪用が回避されます。

Chromeで「ERR_BLOCKED_BY_XSS_AUDITOR」というエラーメッセージが表示される原因は何ですか。

前述のように、最近のビルド ChromeのXSSAuditorが改良され、XSSの脆弱性が悪用されないようになりました。このため、ソースコードを適切に更新していないと、エラーメッセージが表示される場合があります。

ほとんどの場合、誤検知があります 「クロスサイトスクリプティング」攻撃が強制されているとブラウザが判断した場合。これらの攻撃は主に、ブラウザがWebサイトの表示面の一部ではないJavaScriptまたはHTMLをレンダリングするようにだまされたときに発生します。

解決策（Webサイトを管理している場合）

Webサイトの管理者であり、通常の使用中にこのエラーメッセージが表示される場合は、POSTヘッダーにいくつかのページヘッダーを追加して、このエラーメッセージを削除してみてください。これは、XSASauditorリクエストを適切に処理する適切な代替手段が提供されるまでの一時的な修正です。

PHP

PHPファイルに次のヘッダーを追加します。

header('X-XSS-Protection:0');

ASP.NET

ここでは、ソースコードに適切なハンドラーを追加できるようになるまで、XSS保護を一時的に無効にします。

HttpContext.Response.AddHeader("X-XSS-Protection","0");

Web.Configを構成している場合 ファイルの場合、代わりに次のコードを追加できます：

<system.webServer>

    <httpProtocol>

        <customHeaders>

            <add name="X-XSS-Protection" value="0" />

        </customHeaders>

    [...]

ASP.NETサーバー要求の検証

必要なヘッダーを追加した場合でも、サーバーがPOSTリクエストを拒否する場合があります。もう1つの回避策は、「 Request.Unvalidated」を使用することです。 ’は、「安全でない」データリクエストの取得を処理するために特別に作成されたオブジェクトになります。

var code = Request.Unvalidated.Form["code"];

これはおそらくASP.NETリクエストの検証でのみ機能します 。

ウェブフォームを使用している場合 、次を使用できます：

<@ Page validateRequest="false" %>

MVCを使用している場合 、‘ [ValidateInput（false）]を利用できます ’はコントローラーの属性です。これは、検証を防ぐために行われます。

[ValidateInput(false)]

public ActionResult Convert(CodeRequest request)

{ ... }

IISHttpRuntime設定

IIS Expressは、Webサービス用のVisual Studioで使用されており、これまでで最も使用されているアーキテクチャの1つです。 ASP.NETを使用している場合、ASP.NETが制御を取得する前であっても、IISが要求をブロックすることがあります。 web.configでこれをオフにしようとします 次のコードを使用して、古い動作を取得してみてください。

<httpRuntime requestValidationMode="2.0"/>

これを行わないと、IISは失敗し、ASP.NETに渡される前であっても要求を拒否します。

注： これらの回避策は、Webサイトにアクセスできず、損失を引き起こしている場合に役立ちます。 常に XSS Auditorを適切に処理できるように、ソースコードを変更します。適切な修正ができるまで、これらを一時的に使用してください。

解決策（Webサイトを管理していない場合）

通常のユーザーで、ウェブサイトにアクセスしたり管理したりできない場合は、XSASauditorを使用せずにChromeを起動してみてください。 Google Chromeのショートカットを作成し、必要なフラグを追加して、この状態で起動します。

1. デスクトップの任意の場所を右クリックして、[新規>ショートカット]を選択します 。
2. コンピュータにインストールされているGoogleChromeのバージョンに応じて、次のコード行を貼り付けます。

64ビットChromeの場合

"C:\Program Files\Google\Chrome\Application\chrome.exe" -disable-xss-auditor

32ビットChromeの場合

"C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" -disable-xss-auditor

3. これでChromeショートカットが作成されます。次に、Webサイトにアクセスして、エラーメッセージが解決されたかどうかを確認します。

注： この方法では、セキュリティメカニズムの不可欠な部分であるブラウザでXSASauditorを無効にします。自己責任で続行してください。この機能は一時的にのみ使用することをお勧めします。