поступить надо также как и со script - разорвать
<div></div>
<script>
window.onload = function () {
var str = "<!-- OYY.ru -->";
str += "<sc" + "ript type='text/javascript'>";
str += "<!--oyy_banner_id = '00000';document.write('<sc'+'ript type='text/javascript' src=\''+('https:'==document.location.protocol?'https':'http')+':/' + '/ad.oyy.ru/oyy.js?rnd='+Math.round(Math.random()*100000)+'\'></sc'+'ript>');//\n-->";
document.body.children[0].innerHTML = str;
alert(document.body.children[0].innerHTML );
}
</script>