XSS en el texto de una imagen? LOL . Me parece que eso no es posible.

Pues pongo este programa para los que les interese esto de pygame. Cualquier duda pregunten.
Para probarlo necesitan tener pygame instalado.
Os pongo una captura de pantalla de como va :

#!/usr/bin/python
import pygame,random
xp,yp = 400,400
pantalla = pygame.display.set_mode((xp,yp))
pantalla.fill((255,255,255))
for x in range(0,xp,20):
  pygame.draw.line(pantalla, (0,0,0) , (x, 1), (x, 800))
for y in range(0,yp,20):
  pygame.draw.line(pantalla, (0,0,0) , (1, y), (800, y))
pygame.draw.line(pantalla,(0,0,0), (yp/2,0),(yp/2,xp),4)
pygame.draw.line(pantalla,(0,0,0), (0,xp/2),(yp,xp/2),4)
pygame.draw.circle(pantalla, (0,0,0), (xp/2,yp/2),5)
pygame.display.flip()
#### La pantalla esta cargada totalmente a partir de aqui
while 1:
 colora,colorb,colorc = random.randint(0,250),random.randint(0,250),random.randint(0,250)
 funcion = raw_input("f(x)= ")
 listacoordenadas = []
 for x in range(-6,7):
  listacoordenadas.append((x*20+xp/2,yp/2-eval(funcion)*20))
 for indice in range(len(listacoordenadas)-1):
  pygame.draw.line(pantalla,(colora,colorb,colorc), listacoordenadas[indice],listacoordenadas[indice+1],4)
 pygame.display.flip()
raw_input()
 

 

Lo de los DNS lo puedes usar para falsear dns.
Esto quiere decir que cuando un cliente de esa red haga una petición a un dominio cualquiera, tu podrás devolverle la ip que quieras y llevarle a un falso server.

Yo lo haré también.

Yo estoy totalmente de acuerdo, he visto varios usuarios que saben un montón de esto.

Tengo entendido que está programado por tí, no puedes hacer
Y así ves mejor por qué no funciona?

Y si pones como código empleado blabla" or 1=1-- ?

SDC trabajaba en hi5 así que me da la ligera impresión de que no vas a encontrar nada.

Yo hablo de estas cosas que dijiste :

1. El  navegador no interpreta BBCODE, el  que "interpreta" (lo que hace en realidad es transformar a html) el BBCODE es el software SMF (o el que sea), por lo tanto, cuando escribes en bbcode las tags img se transforman en el html resultante <img src=url>... .
2. La peticiones a imágenes y a iframe son siempre por GET (quizás no siempre, no lo sé , pero en este caso sí)

Y lo otro que dijiste :
El javascript, no se ejecuta en el host que tienes el archivo, porque eso es el server, y además , la petición la haces haciendo creer al browser que lo que pide es una imagen, por lo tanto no busca código javascript dentro de ella y no puedes hacer nada con javascript.

Eso si lo llamas en plan [nobbcode][nobbcode] :
No funciona
Porque el javascript lo ejecuta solo el navegador, y si el navegador cree que eso es una imagen no buscará código javascript. El document.form.submit() lo hace el navegador no el server.