Hola gente..

En un sitio web logro:

<input class="input" name="email" size="30" maxlength="120" value="xxxxxxxxxxxxx\" onclick='XXX"' type="text">


logro romper el VALUE y crear el ONCLICK por un parametro modificado en el POST, algo asó:
xxxxxxxxxxx"onclick=XXX

las primeras xxxx en minusculas, quedan en VALUE, y se me crea el inclick así como ven... Pero con una " (comilla doble) dentro... que me esta jodiendo mucho... como puedo hacer para ignorarla y ejecutar el javascrip bien?

llego a hacer que quede:
onclick='this.value=1\\"'
Pero tampoco funciona

ALguna recomendacion?

Pero la inyeccion no es tan directa..
Fijate que ingresando:
xxxxxxxxxxx"onclick=XXX

Me agrega las comillas solas y demas...

En fin:
La \\ porque no hace que se ignore la comilla?? se deberia conseiderlo como COMENTARIO en javascript.. o no?

Pero.. si realmente la \\ hubiese hecho que se ignore la ", hubiese dado el alert(05)
Y no lo dió

Y le hago click, y no hace el ALERT...
IS MAGIC

quiebra el input completo

Ya te lo dijo WHK, tiene que funcionar asi.