1、圖像的插入
今天我們看的豐富多彩的網頁，都是因為有了圖像的作用。在HTML頁面中可以插入圖像，網頁常用的圖像格式有JPEG和GIF這兩種格式。插入圖片的標記只有一個，那就是<img>標記，一般的格式為：<img src=filename>。 src屬性在<img>標記中是必須賦值的，這個值可以是圖像文件的路徑及文件名，同時也可以是網址。除此之外，<img>標記中比較常用的屬性還有。
①alt= 作用為設置當前鼠標移動到圖像上時顯示的文本。
②width= 作用為設置圖像的寬度。
③height= 作用為設置圖像的高度。
例如:<img src=image/1.gif src="/uploads/allimg/140625/11541U642-0.gif" />
(圖2)
在在完整Url地址的輸入框中輸入跨站代碼<script>alert(cmd)</SCRIPT>，提交之後發現並沒有出現跨站的效果，如圖3所示為輸入跨站代碼後返回的數據，從這裡說明了系統並沒有過濾我們的數據，這是一個經驗問題，各位黑友要記住了。
(圖3)
以後凡是寫入跨站代碼後，從返回的數據上如果還出現一些字符，如顯示存在<script>關鍵字啊，那一般是存在跨站漏洞，如果還不放心，可以查看源代碼，利用記事本的查找功能查找跨站關鍵字。 上面沒有過濾跨站代碼，那為什麼又沒出現跨站呢？這是因為跨站代碼被HTML中的引號、<、>給封閉了，針對這種情況，首先是查看返回客戶端的代碼，查找到跨站的代碼，這裡我們是查找關鍵字cmd就可以了，下面是查找到的關鍵性源代碼：<td width=198 height=32>頭像<img id=face src=<script>alert(cmd)</SCRIPT> width=32 height=32>**</td>我們可以看到我們的跨站代碼沒有過濾，而是被<和>及單引號給封鎖了，所以我們只要避開那些字符就可以了，讓<script>alert(cmd)</SCRIPT>單獨存在於代碼中。這個還是很容易實現的，輸入代碼><script>alert(cmd)</SCRIPT><之後，那麼整條語句就變成了<img id=face src=<script>alert(cmd)</SCRIPT>< width=32 height=32>這樣就實現了跨站效果，如圖4所示。
(圖4)