В тектовые поля.Поподробнеетолько статьи об XSS тебе раскажут.Разжовано все не один раз с 2005 года,просто поищи.