, Chrome XSS-.
なぜ脆弱性を探しているのですか？
多くの皆さんと同様に、私はコードレビューを行いますが、最初に探すべきことはもちろん脆弱性です。 コードに脆弱性が見つかった場合、「誤ったアラーム」が存在するため、実際にブラウザを介したものかどうかを確認するとよいでしょう。 これらは、データが既にフィルター処理されており、 XSSが不可能な場合です。 これは良い議論であり、脆弱性が存在する疑いがある場合に問題の建設的な解決策に迅速に移行するのに役立つため、開発者に攻撃のアクションを示すことができると常に便利です。 しかし、ブラウザでチェックインすることはあまりありません。問題はコードから直接明らかであるか、彼らは一言で信じています。 一般的に、脆弱性を探すことは興味深いです。
この物語の始まり
友人が1年前にXSSの脆弱性を抱えていたサイトへのリンクを破棄しました。これについては、リソースの所有者に書きました。 もう一度確認すると面白くなってきました。 私はチェックしました-XSSがありますが、 JS実行の最も簡単な確認を得ることができませんでした！..
私はウェブサイトを壊したり、セキュリティ監査を行ったりしていません。そのため、私が見つけたことが専門家に長い間知られている可能性がありますが、私にとっては発見でした。
最初の疑い
だから、私はコードを実装するためのあらゆる種類のオプションをチェックし始めました-結果なしで。 その過程で、何をどのようにフィルタリングするか、チェックは何かなどを見つけましたが、アラート（1）です。 頑固に実行されません。 XSRFも途中で見つかりました-素敵なボーナスです！
ブラウザがサーバーから受け取ったコードを変更している疑いがありました。 wgetでページのHTMLコードを取得しようとしました-はい、そうですが、奇妙な方法です。 最初は、壊れたマークアップを修正するためにタグを閉じようとしているのではないかと疑っていましたが、ポイントが異なることがわかりました。 この間ずっとGoogle Chromeを使用していましたが、別のブラウザーを試すという考えは思いつきませんでした（しかし無駄に！）。
最終的に、FireFoxでの最も単純なXSSチェックは肯定的な結果をもたらしました-超！ 私はまだ脆弱性があることを証明しましたが、クロムで何も起こらなかった理由は明らかではありません！..ブラウザは同じコードを異なる方法でレンダリングできることを理解していますが、クロムは私がどんなに洗練されていても埋め込みコードを外に出しますやった！ 外部JSファイルへのリンクが
about:blank
置き換えられたChromeのスクリーンショット
したがって、FF、Opera、IEのユーザーは攻撃できますが、Chromeは攻撃できません。 これはある種のユーザーの侵害です。 問題は私を悩ませ、理由が見つかりました！ バージョン7のGoogle ChromeにはXSSフィルター（Cross Site Scripting Auditor ！XSSの確認を許可しなかったのはこのXSS Auditorでした。
理由は明らかですが、問題は解決していません。 確かに、Chromeは難攻不落の要塞になっていますか？！ このフィルターを回避する方法はありませんか？！ この場合、Chromeの使用を推奨し、XSSを忘れてください。 人生はますます楽になっています！
Google ChromeでXSS Auditorを回避する方法は？
しかし、そうなることはありません-そうですか？ だから私はそれを信じていませんでした。
普遍的なバランスを回復するには、何らかの方法でChromeのXSS Auditorを回避する必要があります。 私はそのような方法を見つけました：
- キー
--disable-xss-auditor
使用してブラウザを起動する必要があり--disable-xss-auditor
。 テストに最適です。 - 2つのパラメーターを制御する場合、それらはページの2つの場所に挿入されます。 コードを2つの部分に分割し、複数行のコメントを使用して、これらの2つのポイント間のHTMLをコメント化します-詳細は、 問題96616：セキュリティ：Google Chrome Anti-XSSフィルターの回避
- 1つのタグを開いたままにしておくことが可能な場合、ブラウザはそのタグを閉じようとします。 さらに、XSS Auditorは最初に動作し、次にブラウザーはタグを閉じようとします。
- XSS Auditor（ Proof ）を無効にする特別なHTTPヘッダーを送信します。
header("X-XSS-Protection: 0");
結論
Google Chromeを使用して、追加せずにXSSをテストします。 動きはありません-他のブラウザを使用する方が簡単です。
しかし、XSSから身を守るにはうまくいきますが、 Googleがブラウザを使用して情報を収集することを忘れないでください 。両刃の剣があります。