La compromissione lato server significa che un attaccante ha ottenuto il controllo di un server web o del percorso che il server usa per elaborare le richieste. Tale controllo può derivare da credenziali rubate, da un servizio vulnerabile, da un modulo malevolo o da una configurazione manomessa. A differenza di un attacco lato client, l'abuso avviene sull'host che eroga il sito web, quindi la pagina visibile può sembrare ancora normale mentre il server modifica silenziosamente ciò che ricevono i visitatori.
Questo è importante perché un server compromesso si trova in un punto fidato della rete. Gli attaccanti possono usarlo per reindirizzare il traffico, iniettare contenuti, rubare dati o creare persistenza che sopravvive a una semplice pulizia. Negli incidenti reali, il codice malevolo può essere caricato dallo stesso server, consentendo all'attaccante di alterare le risposte senza modificare il front end del sito. I difensori cercano moduli inattesi, derive di configurazione, reindirizzamenti insoliti, modifiche all'integrità dei file e anomalie di accesso. Ricostruire o verificare il server è spesso più sicuro che rimuovere soltanto il file malevolo più evidente.