[53x]Shadow, эт же не БД, в HTML такого комментария нет.

В каком тэге XSS? Попробуй что-нибудь типа bgcolor=123456><script>alert(/XSS/)</script> или </div><script>... (в общем, закрыть тэг попробуй)