一、题目页面
尝试着随便输入，发现返回结果如下图所示，没办法我们只能查看源代码
二、进行攻击
查看源代码，发现提交的字符串在value属性里，但是我们不能直接输入攻击代码，因为要把双引号闭合掉，这样才能成功运行代码。
攻击代码如下，拼接效果如下图
"><script>alert(document.domain)<script>
成功弹窗，进入Stage #3
评论
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
查看更多评论
添加红包
