Javascript 如何规避基本浏览器XSS过滤

我有一个简单的XXS攻击，它似乎成功地将代码注入到服务器的响应中，但是被浏览器过滤。到目前为止，我已经尝试过谷歌浏览器、火狐浏览器和IE浏览器。我怎样才能避开这件事

下面是通过Netcat的原始客户端请求和服务器响应（注入为粗体）：

请求

GET/example.com？0eb78>警报（1）12bbb=1 HTTP/1.1 主机：示例接受：/Accept语言：en用户代理：Mozilla/5.0 （兼容；MSIE 9.0；Windows NT 6.1；Win64；x64；Trident/5.0） 连接：关闭

响应包含

警报（1）12bbb=1“>

但是，浏览器url请求和响应如下所示：

URL请求：

“>警报（1）12bbb=1

筛选的页面源：

我很难理解你的问题。你现在有什么？你想做什么？你的目标是什么？你的问题是什么？你是否试图绕过Web服务器从url中删除

？是的，凯文，这是正确的，我正试图绕过Web服务器从url中删除。我当前的问题是我无法在浏览器中执行此操作，如“过滤页面源”中所示“向上。我的目标是在页面中生成一个虚拟javascript警报，我可以在屏幕截图中使用它作为概念证明。我认为这在很大程度上取决于过滤的功能。它可以是防火墙、代理或Web服务器。为了避免这种情况，您必须以某种方式愚弄正在进行过滤的服务，禁用所述服务，或者找到绕过它的方法（这三种方法都是非常恶意的），因为这种过滤不会通过原始HTTP请求在我的有效负载上发生，假设这种过滤是由浏览器在客户端完成的，公平吗？这是我问题的一个主要假设。通常这种过滤是在服务器的传入请求上完成的，我还没有看到它在客户端完成。如果是这样的话，我猜这是一个防火墙、代理或服务，它位于您和服务器之间。这是你正在做的改变吗，比如说，谷歌控制台试图将其发布到服务器上？还是怎样我也会尝试禁用扩展，可能还会禁用任何病毒/恶意软件保护，以查看是什么在进行过滤。

<form id="contact_form" method="post" action="http://example.com?0eb78%22%3E%3Cscript%3Ealert(1)%3C/script%3E12bbb">