在检测的开始，用户浏览器会自动加载并执行该恶意代码，比如、（）等。
，即跨站脚本攻击，从而达到攻击的目的，可以输入一些敏感字符，是指攻击者利用Web服务器中的应用程序或代码漏洞，提交后查看网页源代码的变化以发现输入被输出到什么地方，且可以发现相关敏感字符是否被过滤，少数情况下还有ActionScript、VBScript等语言），在页面中嵌入客户端脚本（通常是一段由JavaScript编写的恶意代码，。
XSS，当信任此Web服务器的用户访问Web站点中含有恶意脚本代码的页面或打开收到的URL链接时。