XSS跨站漏洞分為大致三種：儲存型XSS，反射型XSS，和DOM型XSS，壹般都是由於網站對用戶輸入的參數過濾不嚴格而調用瀏覽器的JS而產生的。
儲存型XSS：
壹般是構造壹個比如說"<script>alert("XSS")</script>"的JS的彈窗代碼進行測試，看是否提交後在頁面彈窗，這種儲存型XSS是被寫入到頁面當中的，如果管理員不處理，那麽將永久存在，這種XSS攻擊者可以通過留言等提交方式，把惡意代碼植入到服務器網站上， 壹般用於盜取COOKIE獲取管理員的信息和權限。
反射型XSS：
壹般是在瀏覽器的輸入欄也就是urlget請求那裏輸入XSS代碼，例如：127.0.0.1/admin.php?key="><script>alert("xss")</script>，也是彈窗JS代碼。當攻擊者發送壹個帶有XSS代碼的url參數給受害者，那麽受害者可能會使自己的cookie被盜取或者“彈框“，這種XSS壹次性使用，危害比儲存型要小很多。
dom型：
常用於挖掘，是因為api代碼審計不嚴所產生的，這種dom的XSS彈窗可利用和危害性並不是很大，大多用於釣魚。比起存儲型和反射型，DOM型並不常用。
跨站腳本攻擊(Cross Site Scripting)，為了不和層疊樣式表(Cascading Style Sheets,?CSS)的縮寫混淆，故將跨站腳本攻擊縮寫為XSS。惡意攻擊者往Web頁面裏插入惡意Script代碼，當用戶瀏覽該頁之時，嵌入其中Web裏面的Script代碼會被執行，從而達到惡意攻擊用戶的目的。
XSS攻擊分成兩類，壹類是來自內部的攻擊，主要指的是利用程序自身的漏洞，構造跨站語句，如:dvbbs的showerror.asp存在的跨站漏洞。