Napadalci se takih primerov lotevajo z uporabo spletnih obrazcev (forms), v katerih kakor metodo zahtevka navedejo POST. Pri iskanju je nujna uporaba različnih HTTP proxy programov (npr. Paros, Burp ...), s katerimi lahko prestrezamo zahtevke HTTP in tako pridobimo parameter URL, ki ga nato uporabimo v obrazcu. Kako najlaže odkrijemo, ali imamo opravka s POST ali GET različico?