如何暂时禁用现代浏览器中的XSS保护进行测试？

Question

是否可以暂时禁用现代浏览器中的XSS保护以进行测试？

我试图向同事解释当将其发送到易受XSS攻击的Web表单时会发生什么:

<script>alert("Danger");</script>

但是,Chrome和Firefox似乎都在阻止XSS弹出窗口.我可以禁用此保护,以便完全看到我的操作结果吗？

Answer 1

在Chrome中,有一个标志,您可以使用该标志启动浏览器.如果使用此标志启动浏览器,则可以执行所需操作:

--disable-web-security

@Zachary K:这只适用于Chromium吗？也许不再可能？http://productforums.google.com/forum/#!topic/chrome/r-QGNb0MACo (6认同)
那面旗子会是......？ (4认同)
在Chrome 65.0.3325.181中：“ *您使用的是不受支持的命令行标志：-disable-web-security。*” *未*禁用XSS审核程序。仍然支持`--disable-xss-auditor`。 (4认同)

Answer 2

为方便那些不懂的人....

"C:\ Program Files(x86)\ Google\Chrome\Application\chrome.exe"--args --disable-web-security

使用以上作为快捷方式的路径

这仅在使用这些命令启动chrome之前关闭所有chrome实例时才有效.请参阅http://stackoverflow.com/questions/17679399/does-disable-web-security-work-in-chrome-anymore (9认同)

Answer 3

如果你只是想禁用XSS,你应该使用--disable-xss-auditor.一个完整的论点是:

"C:\ Program Files(x86)\ Google\Chrome\Application\chrome.exe" - disable-xss-auditor

确保在运行命令之前杀死所有chrome.exe进程,否则它将无效.如果您愿意,也可以传递更多参数,例如我经常使用代理参数,因为我不想为整个系统启用代理.

"C:\ Program Files(x86)\ Google\Chrome\Application\chrome.exe"--disable-xss-auditor --proxy-server = 127.0.0.1:8080