本文目录一览：
- 1、IE浏览器哪个版本好用，6，7，还是8
- 2、如何安装火狐浏览器xssme插件
- 3、哪有放XSS跨站脚本工具的第三方工具/
- 4、哪个浏览器自带的下载工具下载的最快
- 5、如何在浏览器启用XSS筛选器
- 6、如何让浏览器允许网站运行跨站脚本?
IE浏览器哪个版本好用，6，7，还是8
IE8在特性功能和性能方面都有重大改进，因此日常网络冲浪将更加快捷。 下面的这些特性使IE8更加快速、方便：
智能地址栏：智能地址栏让用户可以更方便地找到所需的网站。 它可以高效地把历史记录、收藏夹中的标题同用户输入地址栏的内容进行匹配，而不会出现重复的情况。
选项卡分组：选项卡分组让用户可以快速地确认哪个选项卡有。 当点击一个选项卡中的链接而导向另外一个时，新的选项卡会在旁边出现，而且两个选项卡都会用一个颜色进行标记。
重新设计“新选项卡”页面：IE8中的“新选项卡”页进行了重新设计，让用户可以点击页面执行常见任务。
重新打开上次浏览的页面：在不小心关闭浏览器或浏览器崩溃的情况下，IE8让用户可以重新打开最近浏览的页面。
增强的“页面内查找”：改进了人们在网页中搜索文本的方式。
?页面内查找：按Ctrl+F或者在编辑菜单或即时搜索对话框中选择，即可开启页面内查找功能。 工具条显示在用户的选项卡下面，因此不会阻碍页面上的任何文本。
?结果数：强化的页面内查找功能会显示搜索词在页面中出现的次数。
?结果高亮显示：强化的页面内查找功能让用户可以迅速找到搜索项目，因为搜索文本出现的所有地方都会高亮显示。
为IT专业人士实现更便捷的部署与管理
IE8提供了方便IT专业人士的新特性。 某些能够改善IT网络管理和部署的特性包括：
Slipstream安装：它可以实现IE8的部署和作为WindowsVista操作系统映像一部分的定制，不再需要单独安装。 当以这种方式部署IE8时，它将成为WindowsVista的一部分，因此改善桌面一致性和可管理性。
简化的InternetExplorer管理工具包：InternetExplorer管理工具包帮助IT专业人士轻松地配置部署设置，现在支持收藏夹定制和导入加速器的能力。
组策略强化：IE8让IT管理员可以控制和配置包括加速器和网页快讯在内的浏览器特性，并且新增了140多种组政策设置，使总数达到接近1500种，大大方便浏览器的部署、配置和定制。 在连接限制、InPrivate、兼容性查看和SmartScreen等区域有多个新的组政策对象。
增强的开发平台让开发工作更加便捷
除了在标准支持方面的重大改进，IE8还包括面向开发人员的额外平台特性。 IE8在很多子系统中改进了性能，例如HTML解析器、级联样式表(CSS)规则处理、标签树操作、Jt解析器、清除对象运行时间和内存管理，帮助网络开发人员开发更轻松地创建有吸引力的网站。 针对开发人员的特性包括：
CSS2.1：IE8全面支持CSS2.1规范，因此网络开发人员和设计人员可以立刻开发网页并使其更轻松地在多种浏览器上准确地渲染。
文档对象模型(DOM)与HTML4.01改进：IE8修复了很多跨浏览器不一致性问题；例如，获取/设置/删除属性等操作可以与其他浏览器互操作，而在异步Javat与XML(AJAX)设计中，开发人员将体验到性能的大幅提升。
新兴标准：IE8融合了未来会成为行业标准的技术进步，例如W3C的HTML 5 Draft DOMStorage标准、WebApplications Working Group的Selectors API和ECMAt3.1语法。
面向AJAX应用的全新浏览特性：开发人员现在可以在其AJAX应用中更新浏览器前后浏览堆栈以及地址栏，以便这些浏览器功能可以在AJAX应用中使用。
Acid2：IE8能准确地渲染Acid2浏览器测试。
兼容性：IE8附带更多符合标准的排版引擎，让开发人员可以为多款浏览器开发采用单一标准的网站。 为了让开发人员可以选择何时迁移到符合新标准的布局引擎，IE8允许网络开发人员采用IE7布局引擎，只需在代码中插入简单的元标签或在服务器上添加简单的http标头。
开发人员工具：让开发人员可以在可视环境中快速调试HTML、CSS和Jt。 这些工具已经直接植入IE8并且包括扩展功能，包括用于在查看源代码时选择哪个应用程序的菜单选项。 根据这个工具提供给DOM的分析，开发人员可以快速地发现和解决问题。
新功能突破页面限制
IE8允许用户突破页面限制而享受各种网络服务。 涉及的新特性包括：
加速器：加速器让人们可以从他们访问的任何页面轻松获得想要的在线服务。 同时，开发人员也可以轻松地扩展网络服务的覆盖范围。 通过消除了之前访问内容和服务过程中的多数鼠标点击，加速器让用户更加快速地浏览网络。
网页快讯：借助网页快讯，人们通常不必离开正在浏览的网页即可看到他们最希望看到的信息，而开发人员可以把网页的某个部分标记为网页快讯，让用户可以轻松地监测他们最常浏览的信息。 在收藏夹一栏中，用户可以发现以粗体显示的包含更新内容的网页快讯，有可视化的内容并且包含到源网页的链接。
可视化搜索：IE8中强化的即时搜索框更加实用，便于用户寻找感兴趣的内容并提高搜索结果的相关度。 当用户输入搜索词时，会实时看到来自所选搜索服务提供商的搜索建议，包括图像和富文本。 为了便于在网站和搜索服务提供商的搜索建议之间实时切换，搜索框的底端还提供了快捷菜单。 此外，强化的即时搜索框还可以显示用户的收藏夹和浏览历史的搜索结果。
迄今为止最安全、最可靠的Internet Explorer版本
随着网络威胁的演进，人们需要确保能够安全地上网。 通过让人们更好地控制和保护数据，IE8提升了用户的信息。 IE8提供了端到端的安全与隐私保护解决方案，主要涉及社会工程、针对网络服务器攻击的新型防御措施以及针对浏览器的安全防护改进。 IE8在安全与隐私保护方面的改进包括：
InPrivate：InPrivate通过避免在PC上保留用户的数据和隐私信息来提供防护。 这是一种针对第三方的防护，他们可能跟踪用户的网络活动。 用户能够独立地使用两种功能(InPrivate浏览与InPrivate过滤)。
?InPrivate浏览：启用后，InPrivate浏览确保不会在PC上记录浏览历史、临时Internet文件和cookies。 在InPrivate模式下，工具条和扩展工具会自动禁用，而浏览历史会在浏览器关闭时自动删除。
?InPrivate筛选：InPrivate筛选让用户可以阻止旨在跟踪和收集用户网络活动的第三方内容，从而帮助保护用户隐私。 用户会被提醒，能够选择和控制允许或阻止那些第三方内容。
兼容性视图：IE8提供了一种简单的方式来修复显示问题，例如菜单、图像和文本的错位，因为兼容性查看按钮可以按照页面最初的设计进行显示。 某些网站针对旧版浏览器而设计，因此无法在IE8中正常显示。 在默认情况下，IE8会以最符合标准的方式渲染内容。
?兼容性视图列表：使用IE8的用户可以选择接收在兼容性视图中效果最好的主要站点列表。 当浏览这个列表中的网站时，IE8会自动在兼容性视图模式下自动显示这个网站，而不要求用户按兼容性按钮。
自动崩溃恢复：在IE8中，如果某个选项卡崩溃，则会自动恢复并重新载入，用户在这个页面上已经输入的任何信息(例如撰写电子邮件或填表)都有可能恢复。
删除浏览历史记录：IE8强化了删除浏览历史记录的功能，支持删除某些cookies、历史记录和其他数据，同时保留针对喜欢站点的cookies、历史记录和其他数据。
SmartScreen筛选器：SmartScreen筛选器源于微软的钓鱼攻击过滤器，帮助防护更广泛的钓鱼威胁以及阻止试图下载恶意软件的网站。 现在，SmartScreen筛选器更加易于使用，提供强化的用户界面和报警信息，减少用户点击恶意网站的机会。
点击劫持预防：IE8的这个新特性让网站内容负责人可以在页头处增加一个标签，帮助防止点击劫持??一种跨站点请求欺诈行为。 点击劫持包括多种技术，用来欺骗用户无意地点击隐藏或不明显的Web元素，通常会引起意料之外的活动。 IE8检测插入标签的网站并显示错误屏幕来表明内容主机已经选择不允许显示内容，同时让用户可以选择在新窗口中打开内容。
跨站点脚本(XSS)筛选器：IE8帮助保护用户和系统避免信息泄露、cookie被盗和帐户/身份被盗，或者在不经用户允许的情况下假冒用户。 XSS攻击是利用网络服务器和网络应用进行攻击的一种新型攻击方式。 IE8拥有XSS过滤器，能够动态地检测1类XSS(反射)攻击。
数据执行防护(DEP)：DEP在Windows Vista ServicePack1中的IE8内默认启用，通过防止特定类型的代码写入可执行内存区，这种安全功能可以帮助防止病毒和其他安全威胁损害计算机。
跨文件消息通讯(XDM)：XDM提供了一种高度安全的方法，让不同的文档可以在双方同意的情况下进行通信。 XDM为双向跨文件通信提供了基于标准、性能更好的机制。 IE8还提供StaticHtml方法和本地ttNotation支持，在不牺牲性能的情况下保护数据。
跨域请求(XDR)：IE8支持XDomainRequest对象，后者可以用来更安全地从另外一个域的服务器上请求公共资源。 跨域通信是AJAX开发和网状应用中不可缺少的一部分。 XDR现在检查特定网址和通配符的Access-Control-Allow-Origin。 只有当服务器信号清楚地表明跨域共享数据时，跨域数据才可用，帮助保护传统服务器不受攻击。
域名高亮显示：IE8以粗体字高亮显示地址栏中的网址字符串的域名，让用户更轻松地辨别他们正在访问那个网站，并帮助他们识别钓鱼网站和其它欺骗性网站。 域名以黑色字体显示，网址中其他的灰色字符相区别。
网站ActiveX：网站ActiveX通过提供“隐含的”SiteLock(限制特定网域访问的工具)减少攻击面，这样，在默认情况下，控制只会在安装后开始运行。 这使用户/管理员能管理哪些位置可以运行ActiveX。
单用户ActiveX：单用户ActiveX使开发人员能编写他们的ActiveX控件，这样当用户进行安装时，只会安装供该用户使用，而非供系统上的所有用户使用，并且为其他用户提供防止恶意软件或坏写入控制的保护
如何安装火狐浏览器xssme插件
这个漏洞检测插件已经停止维护很久了，目前已没有下载安装途径。
哪有放XSS跨站脚本工具的第三方工具/
不修改网站程序,使用第三方工具来防范XSS跨站式脚本攻击
网站要怎么防范常见的XSS跨站式脚本攻击呢，我们先从XSS跨站式脚本攻击的原理来说起。
网站遭受XSS跨站式脚本攻击的基本原理
1.本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。
其攻击过程如下所示：
A给B发送一个恶意构造了Web的URL。
B点击并查看了这个URL。
恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在B电脑上。
具有漏洞的HTML页面包含了在B电脑本地域执行的JavaScript。
A的恶意脚本可以在B的电脑上执行B所持有的权限下的命令。
2反射式漏洞，这种漏洞和本地利用漏洞有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。
其攻击过程如下：
A经常浏览某个网站，此网站为B所拥有。B的站点运行A使用用户名/密码进行登录，并存储敏感信息（比如银行帐户信息）。
C发现B的站点包含反射性的XSS漏洞。
C编写一个利用漏洞的URL，并将其冒充为来自B的邮件发送给A。
A在登录到B的站点后，浏览C提供的URL。
嵌入到URL中的恶意脚本在A的浏览器中执行，就像它直接来自B的服务器一样。此脚本盗窃敏感信息（授权、信用卡、帐号信息等）然后在A完全不知情的情况下将这些信息发送到C的Web站点。
3存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。
其攻击过程如下：
B拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。
C注意到B的站点具有存储式的XXS漏洞。
C发布一个热点信息，吸引其它用户纷纷阅读。
B或者是任何的其他人如A浏览该信息，其会话cookies或者其它信息将被C盗走。
类型A直接威胁用户个体，而类型B和存储式漏洞所威胁的对象都是企业级Web应用。
网站遭受XSS跨站式脚本攻击的基本方式
1. DOM-based cross-site scripting
页面本身包含一些DOM对象的操作，如果未对输入的参数进行处理，可能会导致执行恶意脚本。如下面一些DOM操作：
document.URL
document.URLUnencoded
document.location (and many of its properties)
document.referrer
window.location (and many of its properties)
举个例子，假如某个脆弱的页面的代码如下：
HTML
TITLEWelcome!/TITLE
Hi
SCRIPT
var pos=document.URL.indexOf("name=")+5;
document.write(document.URL.substring(pos,document.URL.length));
/SCRIPT
BR
Welcome to our system
…
/HTML
攻击者使用如下的URL访问时，则非常危险：
;scriptalert(document.cookie)/script
试了一下，貌似IE、FireFox等浏览器默认 对scriptalert(document.cookie)/script进行了编码，阻止了脚本的执行。但是对于 DOM操作还是要更加谨慎啊，比如把上面的页面修改一下，安全性就增强了不少：
SCRIPT
var pos=document.URL.indexOf("name=")+5;
var name=document.URL.substring(pos,document.URL.length);
if (name.match(/^[a-zA-Z0-9]$/))
{
document.write(name);
}
else
{
window.alert("Security error");
}
/SCRIPT
2. Reflected cross-site scripting
也被称为None-Persistent cross-site scripting，即，非持久化的XSS攻击，是我们通常所说的，也是最常用，使用最广的一种方式。它通过给别人发送带有恶意脚本代码参数的URL，当 URL地址被打开时，特有的恶意代码参数被HTML解析、执行。它的特点是非持久化，必须用户点击带有特定参数的链接菜能引起。
3. Persistent cross-site scripting
持久化XSS攻击，指的是恶意脚本代码被存储进被攻击的数据库，当其他用户正常浏览网页时，站点从数据库中读取了非法用户存入非法数据，恶意脚本代码被执行。这种攻击类型通常在留言板等地方出现。
实施方式
我们来试一把Reflected cross-site scripting。当我们在某网站输入参数XXX，发现参数XXX原样的出现在了页面源码中：
1. input type="text" class="Seach" name="w" value="XXX" /
OK，可以开始做文章了，我们将XXX替换为：abc"/scriptalert('haha')/scripta href="，返回的HTML代码如下：
1. input type="text" class="Seach" name="w" value="abc"/
2. scriptalert('haha')/script!--" /
这样，scriptalert('haha')/script被执行了。这里再举例一些XSS攻击行为：
1. IMG SRC="javascript:alert('XSS');"
2. IMG SRC=javascript:alert('XSS')
3. IMG SRC="javascript:alert(String.fromCharCode(88,83,83))"
4. IMG SRC="jav ascript:alert('XSS');"
5. SCRIPT/XSS SRC=""/SCRIPT
6. SCRIPTalert("XSS");///SCRIPT
7. iframe src=
8. INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');"
9. BODY BACKGROUND="javascript:alert('XSS')"
10. BODY ONLOAD=alert(document.cookie)
11. BODY onload!#$%()*~+-_.,:;?@[/|"]^`=alert("XSS")
12. IMG DYNSRC="javascript:alert('XSS')"
13. IMG DYNSRC="javascript:alert('XSS')"
14. BR SIZE="{alert('XSS')}"
15. IMG SRC='vbscript:msgbox("XSS")'
16. TABLE BACKGROUND="javascript:alert('XSS')"
17. DIV STYLE="width: expression(alert('XSS'));"
18. DIV STYLE="background-image: url(javascript:alert('XSS'))"
19. STYLE TYPE="text/javascript"alert('XSS');/STYLE
20. STYLE type="text/css"BODY{background:url("javascript:alert('XSS')")}/STYLE
21. ?='SCRIPTalert("XSS")/SCRIPT'?
22. A HREF="javascript:document.location=''"XSS/A
23. IMG SRC=javascript:alert('XSS')
24. EMBED SRC="" AllowScriptAccess="always"/EMBED
25. a="get";
26. b="URL(""";
27. c="javascript:";
28. d="alert('XSS');"")";
29. eval(a+b+c+d);
总结一下，要防止XSS跨站式脚本攻击主要是要在查询字符串(QueryString)，表单数据（PostData）以及Cookie甚至HTTP报头（Header）中防止掉一些javascript关键字和一些敏感的字符（单引号，分号）以及SQL语言的关键字，以及防止他们使用encode编码。
用ASP或者PHP脚本来实现上面的这些想起来就很麻烦。下面就来介绍下用一个第三方工具IISUTM来处理上面我们说到的问题。
准备工作：先去下载最新的IISUTM版本。
根据IISUTM网站防火墙安装及操作手册 中的说明把IISUTM部署到你的服务器上来，这里需要注意的是使用Windows 2003+iis6的服务器，需要开启iis中“以IIS5.0 隔离模式运行 www 服务”选项才能正常使用该软件。
安装完成，通过浏览器访问IISUTM的配置管理界面默认的是，这个是私有地址，只能在该服务器上访问，你需要任何地方都能访问的话，可以在安装的时候IP地址的选项那里填入你服务器的公网IP地址，和你所开放的端口。这样你就可以通过你配置的地址进行访问，或者你可以在iis中直接管理名为IISUTM的站点。
登陆管理界面后点击上面导航栏中的“基本设置”，然后点击左边菜单的“防XSS攻击”链接。
开启该链接里所有的选项，选中之后IISUTM会自动保存配置，下面的“使用不允许的发送序列”是该软件提供的XSS攻击关键字的特征库，你可以根据你网站的情况进行更改（最好不要修改）。
确认以上的配置以后，你可以返回到IISUTM管理界面的首页，这里会列出最近服务器遭受到的攻击以及详细，赶紧去看看你的网站是不是随时有人在进行SQL注入吧，以及哪些攻击被IISUTM处理掉了。
哪个浏览器自带的下载工具下载的最快
浏览器的下载工具是辅助工具，肯定是专业的下载软件快哈，迅雷就好了
你每次右键选择迅雷下载就好了。
如何在浏览器启用XSS筛选器
工具：
浏览器
方法如下：
1、打开浏览器，在最上面菜单栏点击【工具】。
2、在工具弹出的下拉框中点击【Internal选项】。
3、在Internal属性中，选择【安全设置】，在安全设置中点下方【自定义级别】。
4、最后，在大约中间位置，点击启用XSS筛选器，确定即可。
如何让浏览器允许网站运行跨站脚本?
1、工具——Internet选项——高级——在“允许活动内容在计算机上运行”
2、打开Internet Explorer工具栏的Internet选项，打开安全选项，点击自定义级别，找到”启用XSS筛选器”，选择禁用
3、清除IE浏览器的缓存,点IE上的工具——选择下面Internet选项，点Internet删除文件(记得勾上删除所有脱机内容)，确定后再重新打开IE浏览器试试,同时请确认使用的是IE6.0及以上版本。
4、网页上清缓存,在网页上选择工具-Interner选项-删除Cookies和删除文件,确定。
5、点击IE浏览器中的“工具”，选择“internet选项”，进入“安全”页面，点击“自定义级别”，将安全设置设为“低”。
6、清空IE浏览器的cookies文件，在IE浏览器中设置“禁止自动脚本更新“。
脚本script是使用一种特定的描述性语言，依据一定的格式编写的可执行文件，又称作宏或批处理文件。脚本通常可以由应用程序临时调用并执行。各类脚本目前被广泛地应用于网页设计中，脚本不仅可以减小网页的规模和提高网页浏览速度，而且可以丰富网页的表现，如动画、声音等。