активная это если ты *make some magic* и твои грязные намерения записались куда-то на сайте. и при дальнейших посещениях этой страницы отрабатывает твой скрипт. например при заполнении анкеты где-то в былосоцсети самопальной вместо имени ты написал ">alert('webkill was here') и когда кто-то откроет твою анкету он будет видеть это окно. пассивная это например когда поиск на сайте стоит, принимает параметры в get и выводит на страницу вместе с результатами и сам поисковый запрос. всё же описано в статьях..