Si logro ingresar javascript en una barra de búsqueda de sitio web que luego ejecutará javascript en la página de resultados, solo se ejecutará en mi sesión local en mi navegador, ¿no? Entonces, a menos que el sitio web almacene mi consulta rellena de javascript y la muestre a otros usuarios, no hará nada para otros usos, ¿no?
Cuando ingresas algo en una barra de búsqueda y se ejecuta, se llama XSS reflejado porque la carga útil se refleja desde la URL (por ejemplo, https://example.com?search=[javascript code] ). Si se almacenara y se mostrara a otros en el futuro, se llamaría XSS.
Leí que tu pregunta es algo así como: "¿Es el XSS reflejado realmente tan peligroso ya que solo se ejecuta en mi computadora?"
Está en lo cierto: XSS reflejado solo se ejecutará en el navegador de la persona que visita el enlace, en este caso usted. Hacer un XSS reflejado en ti mismo es un poco inútil, ya que solo necesitas presionar F12 para encender una consola si quieres ejecutar algún JavaScript en tu propia máquina.
Pero ahora piense qué pasa si crea una URL que engaña a otros para que la visite (envíela por correo electrónico, publíquela en Twitter, publíquela en un foro, etc.). Ahora el JavaScript será ejecutado en su navegador. Puede crear un enlace que registre las contraseñas ingresadas por el usuario que hace clic o que las cookies de los usuarios. Eso es algo peligroso.
Entonces, mientras que el XSS almacenado es posiblemente más peligroso que el XSS reflejado, el XSS reflejado sigue siendo un problema grave que debe solucionarse rápidamente si se descubre.
Depende. Usted está hablando de ataques XSS 'almacenados', es decir, si introduce un poco de Javascript, el sitio web lo almacena y se lo muestra a otra persona. También hay ataques XSS reflejados, es decir, cuando un parámetro de consulta está expuesto y es vulnerable a XSS, es decir, puede crear una URL que contenga el ataque. Luego, puede hacer que algunos sean vulnerables si hacen clic en un enlace que usted proporcione. Un enlace también puede contener un script XSS basado en DOM, que es donde un script en la página usa un parámetro de consulta para construir su DOM. Eso también puede ser malo.
Entonces, tres métodos de XSS: su sitio web necesita bloquear los tres.
Lea otras preguntas en las etiquetas web-application xss javascript