本文目录一览：
如何避免被 chrome浏览器 xss过滤
首先要说明的是 它是webkit的一个模块,而非chrome ,所以Safari和360安全浏览器极速模式等webkit内核的浏览器都有XSS过滤功能.
过滤方式：
通过模糊匹配 输入参数(GET query| POST form data| Location fragment ) 与 dom树,如果匹配中的数据中包含跨站脚本则不在输出到上下文DOM树中.另外,匹配的规则跟CSP没有什么关系,最多是有参考,CSP这种规范类的东西更新速度太慢跟不上现实问题的步伐.
关闭模式：
因为它有可能影响到业务,所以浏览器提供了关闭它的HTTP响应头.
X-XSS-Protection: 0
绕过方式：
因为专门做这方面的原因所以对绕过也有所了解,目前我发布过的一个bypass 0day还可以继续使用.
svgscript xlink:href=data:,alert(1)/script/svg
如何在浏览器启用XSS筛选器
从IE8开始就有XSS筛选器，主要用于防御反射型跨站攻击，且是默认开启的。但由于它那暴力的检测方式(正则匹配)经常会影响到网站的正常业务功能，我想受此困扰的人一定不少，所以我建议大家都把它给关了。
如果是站长请使用X-XSS-Protection响应头关闭:
X-XSS-Protection: 0;
X-XSS-Protection 是用于控制IE的XSS筛选器用的HTTP 响应字段头。
如果你没有权利更改网站设置，那么你可以:
打开IE-菜单栏-安全-Internet-自定义级别-脚本-启用XSS筛选器-关闭-确定.
360杀毒能力强还是金山毒霸杀毒能力强
金山的好。360连宽带连接都防御了造成错误代码733你说360“好不好”！！！宽带错误代码733表示计算机和远程计算机的PPP控制协议无法一致。此故障是因为360的防火墙禁止宽带连接导致，还有上次新浪网的微博中XSS漏洞攻击，中文名称可以叫做“跨站脚本攻击”，而IE只要启动了XSS筛选器就可以阻止这种攻击，而360硬说成是自己的360安全浏览器的功劳，用户不懂技术，难道360也不懂？我个人认为360就是个骗子，垃圾东西，金山于杀毒软件行列第一个拦截鬼影病毒，第一时间拦截未知病毒，现在还能在第一时间拦截窃取合法数字证书的病毒，这种病毒通过合法的数字证书骗过依靠数字证书识别文件是否安全的杀毒软件，360能不能拦截我就不知道了，但金山一定能！！！
有方法能绕过IE11的xss防护机制吗?
较新版本直接绕过比较难，但如果网站存在CRLF漏洞，就可以让服务器返回一个包含X-XSS-Protection并值为0的http头，关闭浏览器的filter，而且CRLF漏洞自身也可以导致xss和session固定等漏洞