Tengo mi javascript almacenado en una variable de almacenamiento local como hackVariable definido a continuación. hackearVariable
empezar:
">document.querySelector('[onclick="Hackbutton()";]').click();<img src='notexist.png'
final:
Luego tengo este documento html con el objetivo de activar el botón de clic después de que hackVariable se haya colocado en el atributo alt de la etiqueta de imagen. El problema al que me enfrento es que el navegador interpreta el "como" en la variable hackVariable.
<!DOCTYPE html> <html> <body> <p>This example uses the HTML DOM to try to click a button</p> <img src="winner.jpg" alt="hackVariable" width="100" height="100" > <button type="button" id="Hackbutton" onclik="DoSomethingCrazy()"> Click Me!</button> </body> </html>Este es el resultado que obtengo
<img src="winner.jpg" alt=" "><script>document.querySelector('[onclick=*"*Hackbutton()*"*;]').click();</script><img src='notexist.png' width="100" height="132" >esto es lo que quiero conseguir
<img src="winner.jpg" alt=" "><script>document.querySelector('[onclick="Hackbutton()";]').click();</script><img src='notexist.png' width="100" height="100" > Mi objetivo es tratar de evitar que el navegador codifique la comilla doble "procedente de la variable en" Intenté algunos métodos como reemplazar "con &x22 or " ; pero no funcionó.