ｔｘｔ也能玩木马

<script>alert(jk)</script>
<iframe src=http://www.baidu.com width=500 height=500></iframe>

这里的地址一旦变成了恶意的地址，一个http://www.aaa.com/a.txt也能让你中招.