我正在做学校作业。我需要完成一些任务，但现在已经有一段时间了。这些目标比我要提出的问题要复杂一些，但是它将解决我似乎无法解决的潜在问题。任何帮助将不胜感激。
基本上，我有一个html文件，并且我的VM上托管有一个易受攻击的虚假网站。它实际上是通过iceweasel Web浏览器的登录页面。我发现该漏洞是因为其中一个字段只是在回显发布值。用户打开我的页面，它很简单地向假网站发出发布请求，然后将脚本插入到所述输入的value属性中。看起来像这样：
<input type="someType" name="someName" value=""/><script>alert('Hello');</script>">
我遇到的问题是此警报正在我的网页上发生，我希望它在加载有漏洞的网页后执行警报。有人知道如何完成这样的壮举吗？
编辑第3部分（终于自己解决了2个问题）：
一旦我遵循了您的建议，即转义了双引号和<和>标记，我就能够成功获得警报以在易受攻击的网页上执行。我还通过脚本（第2部分）成功发送了一个函数，这是另一个语法错误。
接下来要处理的是，我不希望用户在加载页面时看到显示在页面上的“>。是否有办法消除该文本？
例如：
<input type="someType" name="someName"
value="""/><script>alert('Hello');</script>"/>
将“>打印到页面上。如何摆脱/隐藏它？
答案 0 :(得分：0)
正如@misorude 所提到的，在作业开始时，您的引号超出了需要的数量。如果您保留 type=text，那么您的假网站将在转换前几毫秒显示一个文本矩形。隐藏它（类型=隐藏）。