本文目录一览：
xss控制台怎么打开
XSS（跨站脚本攻击）控制台是一种用于检测和调试XSS漏洞的工具。它可以帮助开发人员识别并修复网站中存在的安全问题。
打开XSS控制台需要使用浏览器的开发者工具，以下是在常见浏览器中打开XSS控制台的方法：
1. Google Chrome：按下F12键或右键单击页面上任何元素并选择“检查”选项来打开Chrome DevTools。然后，在DevTools窗口中切换到“Console”选项卡即可访问XSS控制台。
2. Mozilla Firefox：按下F12键或右键单击页面上任何元素并选择“检查元素(Q)”选项来打开Firefox Developer Tools。然后，在Developer Tools窗口中切换到“Console(控制台)”选项卡即可访问XSS控制台。
3. Microsoft Edge：按下F12键或右键单击页面上任何元素并选择“检查”选项来打开Microsoft Edge Developer Tools。然后，在Developer Tools窗口中切换到“Console(控制台)”选项卡即可访问XSS控制台。
4. Safari：按下Command + Option + C组合快捷键或从菜单栏中选择Develop Show Web Inspector来打开Safari Web Inspector。然后，在Web Inspector窗口中切换到"Console(JavaScript 控制)" 选项卡即可访问 XSS 控制台。
请注意，为了保护您自己和其他用户免受潜在威胁，请仅在测试环境下使用此类工具，并遵循最佳实践以确保您不会意外地利用这些技术造成伤害、侵犯他人隐私等行为。
如何在浏览器启用XSS筛选器
从IE8开始就有XSS筛选器，主要用于防御反射型跨站攻击，且是默认开启的。但由于它那暴力的检测方式(正则匹配)经常会影响到网站的正常业务功能，我想受此困扰的人一定不少，所以我建议大家都把它给关了。
如果是站长请使用X-XSS-Protection响应头关闭:
X-XSS-Protection: 0;
X-XSS-Protection 是用于控制IE的XSS筛选器用的HTTP 响应字段头。
如果你没有权利更改网站设置，那么你可以:
打开IE-菜单栏-安全-Internet-自定义级别-脚本-启用XSS筛选器-关闭-确定.
发现XSS漏洞的一般做法有哪些？
关于发现时间，要具体到是检测什么目标了。找google的，和找腾讯的时间肯定不会一样。 至于“你们一般都是如何发现xss漏洞的？” 不同类型的XSS漏洞，可能不尽相同。
1.对于反射型XSS以及一些DOM XSS，一般建议是开发一些自动化的扫描工具进行扫描，并辅以手工分析。 另外一方面，搜索引擎也是快速寻找具有缺陷参数的好办法。
2.对于存储型XSS，
1) 对于单纯的输入-存储-输出点 的情况 （输入与输出点关系：一个地方输入，会有多个地方输出；不同地方输入，同一地方输出。绕了点 T T ...）。常规测试是正向直接输入内容，然后在输出点查看是否未过滤，当然你也可以先大胆假设输出点未过滤，反向寻找在何处进行输入，进而测试。
2）对于富文本，则需要对过滤器进行fuzz测试（人脑+自动化）了，正好乌云drops上有乌乌发了一篇：fuzzing XSS filter
3）第三类，就是一些WEB应用中所出现的DOM-存储型XSS，即输出点的无害内容，会经过js的一些dom操作变得危险（本质上和 第1点里的dom xss成因是一样的）。这一类的挖掘方法，个人觉得不太好总结。 其一，需要熟悉WEB应用的功能，其二，知道功能所对应的JS代码有哪些，其三，凭直觉猜测程序员会在哪些功能出现可能导致XSS的过滤遗忘或过滤错误（直觉是唬人的，其实就是你知道某些功能会需要某些代码实现，而这些代码常常容易出错），其四，需要有较好的代码阅读跟踪能力（JS一大坨。。还是蛮难读的.... 有些代码被混淆过，十分不易阅读，就会涉及到如何下断点进行调试的小技巧）。 我想，挖掘这一类的前提可能是需要有不错的前端开发经验，写多了，才会有足够的嗅觉。
其实吧，有时候专门去找漏洞会很累的，大什么怡情，小什么伤身，因此，我们还不如开心的敲敲代码，听听歌，静待生命中那些意外的收获。 这些收获经常来自身边的人发给你的一些事物。
最后，不论如何，基础很重要吧，内力不足，招式再多也没用，反之，草木竹石皆可为剑。
如何关闭跨站点脚本XSS筛选器
错误是由于跨站脚本的防护阻止了跨站发送的请求。
关闭跨站点脚本筛选器步骤：
1、打开电脑，找到并打开工具，进入工具后，找到并进入Internet 选项；
2、进入安全选项卡，打开Internet下方的自定义级别；
3、在安全设置对话框中找到启用 XSS 筛选器，改为禁用即可。
XSS过滤器
背景：过滤xss攻击，同时将过滤后的日志输出到指定文件。（指定文件输出请看上篇博文）
前景：利用filter进行xss攻击过滤，需要应对不同请求做不同的过滤处理，若是post请求的json格式数据，需要重写getinputstream方法(因为流读取一次后，下层controller无法再次进行读取。原理可自行百度)
因此需要重写两个wrapper（继承HttpServletRequestWrapper）（针对post的json请求以及其他格式的请求）
在filter中以contentType做类型的区分
未做业务耦合的区分（日志输出与xss过滤耦合到一起），若要区分开功能，单独书写即可
一:重写wrapper
1:contentType为multipart/form-data或application/x-www-form-urlencoded
2:contentType为application/json
二：xss处理工具方法：
三：filter过滤器
四：在web.xml配置过滤器
xss筛选器是啥
xss筛选器是InternetExplorer8的新增function，可检测URL和HTTPPOST请求中的JavaScript。XSS筛选器可检测URL和HTTPPOST请求中的JavaScript，检测到JavaScript，XSS筛选searchreflection的证据。攻击请求未被更改，则会返回到攻击性网站的信息。