<、> XSSフィルターのバイパス
<img class="avatar" src="MY INPUT SPACE">
XSSフィルターをバイパスしようとしていますが、与えられた<、>がフィルターされているため、機能しません。これらの2つの文字のみがフィルターされているので、それを壊すことができるように感じますが、それを行う方法を見つけることができませんでした。これについて何か提案はありますか？
コメント内の@MarkBuffaloからの一般的なアドバイス（画像タグにイベントハンドラーを挿入する）は正しいですが、onloadは画像のイベントハンドラーとしてはあまり適していません。より良いオプションは通常onerrorで、これは確実にトリガーするのが非常に簡単です。 src="qq" onerror="alert('XSS!')"のように、存在しないことがわかっている（または少なくともイメージではない）ソースにソースを設定するだけです。
私が好きな特定の例外はSVGタグです。ここで、<svg onload="…" />は、Niceの短い文字列です（<script>…</script>と同じくらい短く、フィルタリング<script>などの愚かなトリックを試す場所で使用できます）。