如何在浏览器中如何关闭javascript功能？
打开IE——工具——internet选项——安全——自定义级别——脚本——Java
小程序脚本——禁用——确定——是——确定
不过，强烈推荐不要禁用JAVA脚本，因为很多网站都使用了JAVA程序，如果禁用，那么那些网站将无法正常显示，或者是一些表单之类的功能无法实现。
如何在浏览器启用XSS筛选器
*** /步骤
打开浏览器，在最上面菜单栏点击【工具】。
在工具弹出的下拉框中点击【Internal选项】。
在Internal属性中，选择【安全设置】，在安全设置中点下方【自定义级别】
最后，在大约中间位置，点击启用XSS筛选器，确定即可。
如何还是不行的话，这时候你需要关系浏览器，重启一下。
最后，如果你想关闭此功能的话，也是按照原来的步骤，在里面点击【禁用】就行。
望采纳
如何避免被 chrome浏览器 xss过滤
首先要说明的是 它是webkit的一个模块,而非chrome ,所以Safari和360安全浏览器极速模式等webkit内核的浏览器都有XSS过滤功能.
过滤方式：
通过模糊匹配 输入参数(GET query| POST form data| Location fragment ) 与 dom树,如果匹配中的数据中包含跨站脚本则不在输出到上下文DOM树中.另外,匹配的规则跟CSP没有什么关系,最多是有参考,CSP这种规范类的东西更新速度太慢跟不上现实问题的步伐.
关闭模式：
因为它有可能影响到业务,所以浏览器提供了关闭它的HTTP响应头.
X-XSS-Protection: 0
绕过方式：
因为专门做这方面的原因所以对绕过也有所了解,目前我发布过的一个bypass 0day还可以继续使用.
svgscript xlink:href=data:,alert(1)/script/svg
怎样关闭浏览器
在Internet Explorer浏览器中，打开“工具”选项，打开“Inetnet 选项”对话框。
单击“高级”选项卡。在“重置 Internet Explorer 设置”下，单击“重置”。
2. 然后再次单击“重置”。（您也可以勾选“删除个性化设置”，以将相应的个性化信息重置为默认设置。）
3. Internet Explorer 完成重置设置后，单击“重置 Internet Explorer 设置”对话框中的“关闭”。
关闭所有的浏览器窗口，再次启动 Internet Explorer。在欢迎使用界面，点击下一步完成即可
解决方案2：卸载Internet Explorer浏览器后重新安装浏览器
1. 请关闭所有的Internet Explore浏览器窗口；打开“控制面板”；
打开“程序”关闭Windows功能”
4.关闭Internet Explorer，即在Internet Explorer前去掉打勾，卸载Internet Explorer。在弹出的对话框中选择“是”。
5. 关闭完成之后，
在重新打开“Internet Explorer 功能”，即在Internet Explorer前去重新打勾，安装Internet Explorer。
确定之后，等到完成即可。重启IE后，会出现欢迎使用界面，点击下一步完成即可。
如何关闭禁用浏览器的JavaScript功能?
这里给几个浏览器关闭禁用浏览器的JavaScript功能的 *** 步骤：
Firefox
在菜单栏中选择“工具”–“选项”–“内容”中可见到“启用JavaScript”的选项。
Internet Explorer(IE)
最不好找，菜单栏中“工具”中选择“Internet选项”–“安全”选项卡–选择“Internet”（蓝色的小地球）–“自定义级别”–找到“脚本”下的“Java小程序脚本”中进行启用和禁用。
Opera
在菜单栏中选择“工具”–“首选项”–“高级”选项卡–“内容”中的“允许使用JavaScript”可以设置。
Safari
以最新的Beta4英文版为准，在“Preferences”–“Security”选项卡中的“Enable JavaScript”，勾选上则是打开，反之是禁用。
Google Chrome
目前Google Chrome还不支持在GUI里进行Javascript的开启和禁用，而是要通过在快捷方式中添加参数的 *** 。
要禁用Javascript需要在Chrome的快捷方式的“属性”–“快捷方式”选项卡–“目标”中最后加入“ -disable-javascript”。
外还有其它一些参数:
-disable-images 禁用图片
-disable-java 禁用Java（非Javascript）
-disable-plugins 禁用插件
-disable-popup-blocking 禁用防弹窗功能
-start-maximized 启动时更大化
如何防止xss攻击，需要过滤什么
XSS攻击通常是指黑客通过"HTML注入"篡改了网页，插入了恶意的脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。
一、HttpOnly防止劫取Cookie
HttpOnly最早由微软提出，至今已经成为一个标准。浏览器将禁止页面的Javascript访问带有HttpOnly属性的Cookie。目前主流浏览器都支持，HttpOnly解决是XSS后的Cookie支持攻击。
我们来看下百度有没有使用。
未登录时的Cookie信息
可以看到，所有Cookie都没有设置HttpOnly，现在我登录下
发现在个叫BDUSS的Cookie设置了HttpOnly。可以猜测此Cookie用于认证。
下面我用PHP来实现下：
?php
header("Set-Cookie: cookie1=test1;");
header("Set-Cookie: cookie2=test2;httponly",false);
setcookie('cookie3','test3',NULL,NULL,NULL,NULL,false);
setcookie('cookie4','test4',NULL,NULL,NULL,NULL,true);
?
script
alert(document.cookie);
/script
js只能读到没有HttpOnly标识的Cookie
二、输入检查
输入检查一般是检查用户输入的数据中是否包含一些特殊字符，如、、'、"等，如果发现存在特殊字符，则将这些字符过滤或者编码。
例如网站注册经常用户名只允许字母和数字的组合，或者邮箱 *** ，我们会在前端用js进行检查，但在服务器端代码必须再次检查一次，因为客户端的检查很容易绕过。
网上有许多开源的“XSS Filter”的实现，但是它们应该选择性的使用，因为它们对特殊字符的过滤可能并非数据的本意。比如一款php的lib_filter类：
$filter = new lib_filter();
echo $filter-go('1+11');
它输出的是1，这大大歪曲了数据的语义，因此什么情况应该对哪些字符进行过滤应该适情况而定。
三、输出检查
大多人都知道输入需要做检查，但却忽略了输出检查。
1、在HTML标签中输出
如代码：
?php
$a = "scriptalert(1);/script";
$b = "img src=# onerror=alert(2) /";
?
div?=$b?/div
a href="#"?=$a?/a
这样客户端受到xss攻击，解决 *** 就是对变量使用htmlEncode,php中的函数是htmlentities
?php
$a = "scriptalert(1);/script";
$b = "img src=# onerror=alert(2) /";
?
div?=htmlentities($b)?/div
a href="#"?=htmlentities($a)?/a
2、在HTML属性中输出
div id="div" name ="$var"/div
这种情况防御也是使用htmlEncode
在owasp-php中实现：
$immune_htmlattr = array(',', '.', '-', '_');
$this-htmlEntityCodec-encode($this-immune_htmlattr, "\"script123123;/script\"");
3、在script标签中输出
如代码：
?php
$c = "1;alert(3)";
?
script type="text/javascript"
var c = ?=$c?;
/script
这样xss又生效了。首先js变量输出一定要在引号内，但是如果我$c = "\"abc;alert(123);//"，你会发现放引号中都没用，自带的函数都不能很好的满足。这时只能使用一个更加严格的JavascriptEncode函数来保证安全——除数字、字母外的所有字符，都使用十六进制"\xHH"的方式进行编码。这里我采用开源的owasp-php *** 来实现
$immune = array("");
echo $this-javascriptCodec-encode($immune, "\"abc;alert(123);//");
最后输出\x22abc\x3Balert\x28123\x29\x3B\x2F\x2F
4、在事件中输出
a href="#" onclick="funcA('$var')" test/a
可能攻击 ***
a href="#" onclick="funcA('');alter(/xss/;//')"test/a
这个其实就是写在script中，所以跟3防御相同
5、在css中输出
在owasp-php中实现：
$immune = array("");
$this-cssCodec-encode($immune, 'background:expression(window.x?0:(alert(/XSS/),window.x=1));');
6、在地址中输出
先确保变量是否是"http"开头，然后再使用js的encodeURI或encodeURIComponent *** 。
在owasp-php中实现：
$instance = ESAPI::getEncoder();
$instance-encodeForURL(‘url’);
四、处理富文体
就像我写这篇博客，我几乎可以随意输入任意字符，插入图片，插入代码，还可以设置样式。这个时要做的就是设置好白名单，严格控制标签。能自定义 css件麻烦事，因此更好使用成熟的开源框架来检查。php可以使用htmlpurify
五、防御DOM Based XSS
DOM Based XSS是从javascript中输出数据到HTML页面里。
script
var x = "$var";
document.write("a href='"+x+"'test/a");
/script
按照三中输出检查用到的防御 *** ，在x赋值时进行编码，但是当document.write输出数据到HTML时，浏览器重新渲染了页面，会将x进行解码，因此这么一来，相当于没有编码，而产生xss。
防御 *** ：首先，还是应该做输出防御编码的，但后面如果是输出到事件或脚本，则要再做一次javascriptEncode编码，如果是输出到HTML内容或属性，则要做一次HTMLEncode。
会触发DOM Based XSS的地方有很多：
document.write()、document.writeln()、xxx.innerHTML=、xxx.outerHTML=、innerHTML.replace、document.attachEvent()、window.attachEvent()、document.location.replace()、document.location.assign()
如何取消阻止跨站脚本
登陆protal后，点击查看报表，这是protal会发送转到cognos的请求，如果使用的IE8，则这个请求会被拦截，提示“Internet Explorer 已对此页面进行了修改，以帮助阻止跨站脚本。单击此处，获取详细信息...”。
这个错误是由于 IE8 的跨站脚本(Cross-site scripting, XSS)防护阻止了跨站发送的请求。
点击 IE8 的“工具”-“Internet 选项”，进入“安全”选项卡，打开“Internet”下方的“自定义级别”，在“安全设置”对话框中找到“启用 XSS 筛选器”，改为“禁用”即可。