Un payload di script è codice eseguibile consegnato durante un attacco, di solito sotto forma di JavaScript, PowerShell, batch o un altro script in grado di eseguire comandi su un sistema vittima. Può essere nascosto all'interno di una pagina web, di un archivio, di un file del browser nella cache o di un documento camuffato, ed è spesso usato per avviare la fase successiva della compromissione invece di causare subito tutti i danni.
I payload di script sono importanti perché fanno da ponte tra la consegna e l'esecuzione. Gli attaccanti li usano per scaricare altro malware, rubare dati, modificare impostazioni o aprire un canale di comandi remoti. I difensori cercano segnali di esecuzione di script, attività insolite dal browser alla shell e script avviati da posizioni che dovrebbero contenere contenuto inerte, come file immagine o asset web memorizzati nella cache. Limitare gli interpreti di script, usare il controllo delle applicazioni e monitorare righe di comando sospette può ridurre il rischio.