revisando la pagina de la empresa donde trabajo  descubri una parte en donde se le puede inyectar codigo html la estructura de la liga es la siguiente
http://xxxx.com/consultaexistencia/ubicacion/existencia.php?codigo=<h1>*****CODIGO-MALICIOSO***</h1>
mi pregunta es la siguiente que mas puedo hacer si se puede inyectar code html intente mandar un alert pero no me deja

no pongas <script> o cosssas asi sino salta puedes ir probando asta k lo haga

Prueba con algún formulario de tu web y no desde su url. Cierra el input del mismo poniendo:

"><script>alert("xxx")</script>

Primero cierras con "> y luego inyectas el alert, prueba así .

Si tu web es ésta: http://smail.coppel.com/ el <script> no se ejecuta porque filtra las comillas dobles de dentro de alert. Con StringfromCharCode() te servirá, así:

http://smail.coppel.com/consultaexistencia/ubicacion/existencia.php?codigo=%3Cscript%3Ealert%28String.fromCharCode%28111,118,101,114,120,102,108,111,119%29%29%3C/script%3E

Pues yo de XSS no tengo mucha idea, pero puedes probar a poner un document.cookie en el alert, junto con window.location para que se escriba la cookie en un archivo de texto y enviar la url maligna por ahí a gente que sepas que está registrada.

Un saludo

Deja de pensar en todos los demás. Piensa así, javascript se ejecuta del lado del cliente osea, que puedes hacer que el navegador realice cualquier acción sin que el usuario se de cuenta.

Por ejemplo, si encontrara un XSS en elhacker, yo pudiera hacer cualquier cosa, desde enviar mensaje y borrar post (en caso de ser mod), eliminar usuario, cualquier cosa que SMF le permita hacer al usuario.

Pero hay algo que me detiene, que seria una  captcha o una verificación de password.
Para hacerle un bypass a la primera (captcha), se me ocurre mostrar en el centro la  captcha y forzar el usuario para que escriba la captcha y poder hacerle el bypass. Para la verificación del password, se me ocurriría lo mismo.

Si ya eres programador, se te hara muy facil. Cuando necesitas hacer algo como programador no buscas codigos ya hechos, piensas en como lo podria hacer y lo programas. Algo similar pasa con este tipo de vulnerabilidad, pero en vez de pensar, la gente comienza a buscar códigos de como explotar, como el FAMOSO robo de cookie, en vez de comenzar a pensar la forma en que te podrías aprovechar de esta vulnerabilidad y crear un vector de ataque. Y estoy seguro que muchas personas no asocian XSS con javascript, supongo que para alguno la forma de sacar cookie por medio de un "XSS" viene siendo como magia.

El primer paso es estudiar el sistema.

Saludos.