Du kan jo gjøre et forsøk hjemme da;

sett opp en webside som du vet du kan SQL-injecte og XSS, deretter tetter du hullene etter litt testing for å forstå hvorfor injection funket eller hvorfor xss ikke funket i de forskjellige tilfellene.