XSS漏洞按照攻击利用手法的不同，有以下三种类型：
Bob点击并查看了这个URL。
恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。
具有漏洞的HTML页面包含了在Bob电脑本地域执行的JavaScript。
类型B，反射式漏洞，这种漏洞和类型A有些类似，不同的是Web
客户端
使用Server端
脚本
生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经
HTML实体
编码，客户端代码便能够注入到
动态页面
中。其攻击过程如下：
客户端
使用Server端
脚本
生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经
HTML实体
编码，客户端代码便能够注入到
动态页面
中。其攻击过程如下：
Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点运行Alice使用用户名/密码进行登录，并存储敏感信息(比如银行帐户信息)。
Charly发现Bob的站点包含反射性的XSS漏洞。
Charly编写一个利用漏洞的URL，并将其冒充为来自Bob的邮件发送给Alice。
Alice在登录到Bob的站点后，浏览Charly提供的URL。
嵌入到URL中的
恶意脚本
在Alice的
浏览器
中执行，就像它直接来自Bob的服务器一样。此
脚本
盗窃敏感信息(授权、信用卡、帐号信息等)然后在Alice完全不知情的情况下将这些信息发送到Charly的Web站点。
恶意脚本
在Alice的
浏览器
中执行，就像它直接来自Bob的服务器一样。此
脚本
盗窃敏感信息(授权、信用卡、帐号信息等)然后在Alice完全不知情的情况下将这些信息发送到Charly的Web站点。
类型C，存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，
骇客
将攻击
脚本
上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的
管理员
。其攻击过程如下：
骇客
将攻击
脚本
上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的
管理员
。其攻击过程如下：
Bob拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。
Charly注意到Bob的站点具有类型C的XSS漏洞。
Charly发布一个热点信息，吸引其它用户纷纷阅读。
Bob或者是任何的其他人如Alice浏览该信息，其会话cookies或者其它信息将被Charly盗走。
类型A直接威胁用户个体，而类型B和类型C所威胁的对象都是企业级Web应用，目前天清入侵防御产品所能防范的XSS攻击包括类型B和类型C。