我们直接在主题那里输入跨站代码，这里我用<IMG SRC=”javascript:slert(“小志”);”>，当然用<script>alert("xiaozhi")</script>也是可以的，然后点提交，成功弹出如图7
到了这里可能有些朋友觉得只是弹个窗，没什么了不起的，因而觉得这个没什么利用价值那可就大错特错了。其实我们还是可以利用这个XSS来偷取管理员的cookie，或者挂马！因为这站只是用trim过滤了空格，所以利用起来是非常容易的。 嘿嘿 下面我用这个漏洞来演示一下怎么偷到管理员的密码。 我们可以伪造个密码验证框！让管理输入帐号和密码验证，为了不让管理员发现，密码框的代码是利用cookie验证，密码框出现一次后，要想再出现密码框，就要在IE那删除cookie，如图8
