・格納型（蓄積型 / Stored XSS）： 攻撃者がWebサーバー（掲示板、ブログ、SNSのプロフィール欄など）のデータベースに不正なスクリプトを書き込んで保存させます。そのページを訪れた他の不特定多数のユーザーがページを読み込むたびに、ブラウザがスクリプトを実行し、被害を受けます。被害の持続性と範囲が非常に広い危険な手法です。
・反射型（Reflected XSS）： メールやSNSのリンクに、スクリプトを含んだパラメータを仕込んでターゲットに踏ませます。リンクをクリックすると、Webサーバーは送られてきたパラメータ（スクリプト）をそのまま「検索結果画面」や「エラー画面」などの応答ページに反射して埋め込み、踏んだ本人のブラウザ上でスクリプトが実行されます。
・DOM-based XSS： サーバーからのレスポンスを介さず、クライアント側（ブラウザ上）で実行されるJavaScript自体が、不適切に入力されたパラメータをHTMLとして描画するバグを突いて実行される手法です。