这个时候我们就可以输入常规的信息去搜索，输入“im liuse”显示效果如下：

现在我们改变策略，输入我们上面说的xss测试代码<script>alert('XSS')</script>然后执行，你会看到下图的效果：

事实证明，没有进行过滤，如果我们把这个地方的<script>alert('XSS')</script>改成其它的代码，如：

<script>alert(document.cookie)</script>

就可以获取用户的cookie（cookie记录了用户的登录信息），拿到cookie有什么用呢？

举个例子，比如说拿到你的QQ空间的cookie就可以不需要用户名密码登录你的空间，我们经常见到空间好友自动转发一些乱七八糟的东西的图片文字的，基本都是通过xss漏洞搞的。

说完反射型XSS我们再来说说存储型XSS。

相对于反射型XSS，存储型XSS的档次确实高了不少，不过利用难度也相对提高了。

什么是存储型XSS呢？没错就跟它的名字一样，是可以储存起恶意代码的方式。这种漏洞利用多出现在论坛评论，后台上传这些地方，可以是图片也可以是文字。相对于反射型XSS不同的是，存储型XSS可以保存在服务器端（存到数据库）下面我们用代码举例：

我们在上面的xss.php文件的基础上修改一下：