XSS solo no hace mucho daño, pero puede combinarse fácilmente con otras técnicas para formar vectores de ataque poderosos. Algunas posibilidades son:
secuestro de sesión : a menudo, las cookies de sesión se pueden leer desde Javascript. A través de XSS, se puede montar un script que lee el ID de sesión de un usuario y se lo pasa al atacante (un método simple pero efectivo es agregar un elemento img al DOM, donde la URL de la imagen lleva el ID de la sesión); el atacante puede secuestrar una sesión autenticada colocando el ID de sesión en su propia cookie de sesión.
información confidencial sobre raspado : si una página con una vulnerabilidad XSS contiene información confidencial, y envíela al atacante (como la cookie de sesión).
publicar datos en nombre de otra persona : a través de XSS, un envío de formulario puede ser interceptado y modificado, o incluso activado, publicar datos sin el consentimiento del usuario. Por ejemplo, si puede comprometer un cliente de correo web, podría secuestrar el botón 'enviar' para agregarse a la lista de destinatarios.
redireccionamiento malicioso : un script XSS puede alterar las URL de cualquier enlace en la página. Se puede abusar de esto para, por ejemplo, enviar al usuario a una página de inicio de sesión falsificada; En lugar de iniciar sesión, están enviando sus credenciales al atacante.
ingeniería social : al insertar mensajes de error, alertas, etc., puede engañar a los usuarios para que cometan todo tipo de comportamientos inseguros. Por ejemplo, un atacante podría pedir a los usuarios que descarguen y abran un archivo determinado; Si el sitio que les pide que lo haga tenga un alto nivel de confianza con el usuario, es probable que ejecuten de forma acrítica cualquier cosa, lo que permite el montaje de troyanos y otros programas maliciosos.
También tenga en cuenta que muchos vectores de ataque funcionan sin que el usuario abra conscientemente la página comprometida: a menudo, la página comprometida se coloca en un iframe invisible en otro lugar, como un foro que la víctima probablemente visite, o una página vinculada desde sin embargo, en otro lugar.