самео простое - вводи в поля ввода такую штуку: '">xss и смотри где код вышел за пределы ковычки. ДЛя активных ксс - <>><}{)(xss()'=" - смотри в исходнике что фильтруется а что нет