Kluczowe jest to, że przeglądarka porównuje nazwy hostów, a nie adresy IP, na które te nazwy się rozwiązują.
W podstawowej odmianie ataku napastnik konfiguruje własny serwer nazw tak, by odpowiadał na zapytania o jego domenę adresem jego serwera, z bardzo krótkim czasem życia rekordu (time to live, TTL). Przeglądarka wczytuje z tego adresu złośliwy skrypt. Po wygaśnięciu rekordu napastnik zmienia odpowiedź na adres atakowanej maszyny; kolejne żądanie skryptu do tej samej nazwy trafia już pod nowy adres, a przeglądarka – uznając oba serwery za to samo pochodzenie – pozwala odczytać odpowiedź.
Po stronie napastnika sprowadza się to do serwera nazw z logiką dynamiczną, zwracającego kolejne pary adres–TTL z przygotowanej wcześniej listy zamiast statycznej zawartości strefy.
Zamiast adresu IP napastnik może wskazać rekord CNAME prowadzący do wewnętrznej nazwy hosta w sieci ofiary, na przykład odgadniętej nazwy serwera firmowego;