¿De dónde extraen los datos de sabotaje la cadena de contraseña?

Los datos POST se envían en el cuerpo de la solicitud HTTP.

POST /foo.php HTTP/1.1
Host: example.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 28

username=bar&password=foobar

No está "almacenado" en ninguna parte. Se construye en el navegador cuando se hace clic en Enviar en una etiqueta <form /> con el atributo method="post" , o se genera cuando el código JavaScript le dice al navegador que envíe dicha solicitud.

Del mismo modo, en el lado del servidor, la propia aplicación del servidor decide qué hacer con estos datos POST.

Tamperdata intercepta el tráfico POST y GET. Si se trata de una solicitud POST, se almacena en un formulario como atributo oculto o se genera con una solicitud XHR. De cualquier manera, el cliente inicia la acción, y la tamperdata se engancha en las llamadas.