我目前正在学习如何在网站上执行 XSS，但有一个不断出现的问题，我确信它一定很容易绕过。很多时候，网站会过滤掉引号和/或“< >”。就实际脚本而言，这不是一个大问题，因为可以通过使用不同的方法或通过混淆脚本来绕过它，真正的问题是当我需要从 HTML 标记中转义时。例如：

<input class="user-control-search-textbox" type="text" name="tx_indexedsearch[sword]" value="onmouseover='javascript:alert(0)'" id="tx-indexedsearch-searchbox-sword" />

如您所见，javascript 不会执行，因为它位于 value 引号内，因此不被视为可执行代码，而是被视为实际搜索。问题是我无法让它摆脱它，因为当我把"> 它放进去时

value="">onmouseover='javascript:alert(0)'" 

因此标签没有关闭，因为没有使用实际字符。

我想知道的是是否可以在不使用实际字符（在本例中为"and >）的情况下关闭标签，因为它们已被过滤掉，或者我是否可以以某种方式混淆字符但仍将其读取为关闭标签。

如果有人可以帮助我，那么我非常感谢你，这可能是一个愚蠢的问题。