Actualmente estoy aprendiendo a realizar XSS en sitios web, pero hay un problema constante que sigue siendo recurrente y estoy seguro de que debe evitarse. Muy a menudo, el sitio web filtrará las comillas y / o "< >". Este no es un gran problema cuando se trata de la secuencia de comandos real, ya que se puede omitir utilizando un método diferente u ofuscando la secuencia de comandos, el problema real es cuando necesito escapar de una etiqueta HTML. Por ejemplo:
<input class="user-control-search-textbox" type="text" name="tx_indexedsearch[sword]" value="onmouseover='javascript:alert(0)'" id="tx-indexedsearch-searchbox-sword" />
Como puede ver, el javascript no se ejecutará porque está dentro de las comillas por valor y, por lo tanto, no se trata como un código ejecutable sino como una búsqueda real. El problema es que no puedo evitar que se escape de esto, ya que cuando pongo "> se convierte en
value="">onmouseover='javascript:alert(0)'"
y, por lo tanto, la etiqueta no se cierra porque no se usa el carácter real.
Lo que me gustaría saber es si es posible cerrar la etiqueta sin usar el carácter real (en este caso, " y > ) ya que se filtran, o si puedo ofuscar el carácter en algunos de manera pero aún se puede leer como cerrar la etiqueta.
Si alguien puede ayudarme, te lo agradezco mucho, probablemente sea una pregunta estúpida.