为什么'；这个XSS攻击不起作用吗？

我想向站点中注入一些XSS代码。源代码如下所示：

<span class="c_red">"aaa"</span>

</span><img src=* onerror=alert(1) /><span>"

因此，结果代码是

<span class="c_red">"</span><img src=* onerror=alert(1) /><span>""</span>

“”“

---

为什么我不能在屏幕上显示警报框？

您没有提供有关该问题的足够信息，但我认为这可能是由以下原因造成的：

您尝试注入的网站使用或其他方法替换代码中的某些字符，使其变得无用

您将图像放置在范围之外，可能会迫使服务器操作员忽略您的代码

---

试着检查网站的源代码（CTRL+U），看看你注入的代码是否在源代码中，是否没有用红色突出显示（这意味着该部分输入不正确，并且会被一些浏览器忽略）

是的，thx。我刚刚按照您提供的方法检查了源代码，发现类似“”的字符编码为“>”，“<”。因此，网站在输出中进行了验证，但编码的字符无法在FireBug中显示。我认为这样可以吗？如果网站将字符编码为“>”和“<”，这意味着它也在使用或者，是的，FireBug可能不知道角色。