> For the complete documentation index, see [llms.txt](https://w0lf-f4ng.gitbook.io/cheat-sheet/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://w0lf-f4ng.gitbook.io/cheat-sheet/pentesting-web/vulnerabilidades/cross-site-scripting-xss/reflected-xss.md). # Reflected XSS Reflected XSS surge cuando una aplicación recibe datos en una solicitud HTTP e incluye esos datos en la respuesta inmediata de forma no segura. ## Impacto del ataque de un Reflected XSS Si un atacante puede controlar un script que se ejecuta en el navegador de la víctima, normalmente puede comprometer completamente a ese usuario: * Realizar cualquier acción dentro de la aplicación que el usuario pueda realizar. * Ver cualquier información que el usuario pueda ver. * Modificar cualquier información que el usuario pueda modificar. * Iniciar interacciones con otros usuarios de la aplicación, incluidos ataques maliciosos, que parecerán ser originados desde el usuario víctima. Existen múltiples métodos para inducir a un usuario a realizar una solicitud que controlamos, como las siguientes: * Colocar enlaces en un sitio web controlado por el atacante, o en otro sitio que permita generar contenido. * Enviar un enlace en un correo electrónico, tweet u otro mensaje. La necesidad de un mecanismo de entrega externo para el ataque significa que el impacto del Reflected XSS es generalmente menos severo que el del Stored XSS. ## Reflected XSS en contexto HTML sin nada codificado > El siguiente sitio posee un Reflected XSS en la función de búsqueda. Al ingresar datos en el parámetro de búsqueda, estos son reflejados en el body de la respuesta del sitio:

Al enviar datos, estos son enviados mediante un método GET:

Como se ve a continuación, estos datos son reflejados en el body de la respuesta:

Ahora, validamos si podemos enviar código JavaScript. Se enviará el payload `` encodeado en URL:

Vemos que el payload no es codificado en la respuesta:

El payload no se codifica en la respuesta

Por lo tanto, si lo revisamos en la web, vemos que salta el pop-up con el mensaje que dejamos en el `alert()` enviado:

## Reflected XSS en atributo con angle brackets codificado en HTML > El siguiente sitio posee un Reflected XSS en la función de búsqueda. Al ingresar datos en el parámetro de búsqueda, estos son reflejados en el body de la respuesta del sitio:

Al enviar datos, estos son enviados mediante un método GET:

Como se ve a continuación, estos datos son reflejados en el body de la respuesta:

Ahora enviamos el payload ``:

En la respuesta, los símbolos `<>` se encuentran codificados, por lo tanto, no podemos usar una nueva etiqueta HTML:

Como los datos se encuentran en del atributo `value` del tag `input`, podemos enviar un payload para que trabaje dentro de este mismo tag. Para este caso, usamos el payload `" onmouseover="alert(1)`:

Con las primeras comillas del payload, cerramos el atributo `value`, y este dejará el nuevo atributo `onmouseover` dentro del tag input:

Ahora, si mandamos el payload directamente en la web, y pasamos el mouse sobre la barra de búsqueda, salta el pop-up con el mensaje indicado en el payload:

## Relfected XSS en un string JavaScript con angle brackets codificados en HTML > El siguiente sitio posee un Reflected XSS en la función de búsqueda. Al ingresar datos en el parámetro de búsqueda, estos son reflejados en el body de la respuesta del sitio:

Validamos si podemos ingresar el siguiente payload `'`, cerrando el tag script:

Los angle brackets se encuentran codificados en la respuesta:

Usamos el siguiente payload `'-alert(1)-'`, donde, se usan `-` para concatenar e indicar que se tiene tomar en cuenta el valor de `alert()`:

Vemos que el payload no se codifica en la respuesta:

Al ingresar este payload directamente en la barra de búsqueda, vemos que salta el pop-up con el mensaje dentro de la función `alert()`:

## Reflected XSS en contexto HTML con la mayoría de las etiquetas y atributos bloqueados Como indica el título del lab, se presentan múltiples bloqueos de etiquetas y atributos a nivel de HTML, por este motivo, es necesario identificar cuáles podemos usar. Usando el intruder de Burp Suite, y el Cheat Sheet de PortSwigger, podemos validar las etiquetas/atributos permitidos. Lo primero es mandar el request de la búsqueda al Intruder:

En este, seleccionamos donde necesitamos agregar el payload:

Ahora, desde la web de [PortSwigger](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet) copiamos los tags:

Estos los agregamos a la lista de payloads:

Ya con esto, le damos clic en `Start attack`, y cuando termine, revisamos las respuestas que tengan mayor largo, que en este caso, es `body`:

Con este tag, repetimos lo anterior, pero ahora agregando los `events` del cheat sheet:

Acá podemos filtrar por dos opciones, por el status code o por el largo:

Con esto, validamos ingresando la función `alert()` dentro del atributo `onresize`, y vemos que salta el pop-up al momento de ajustar el tamaño de la página:

Para poder enviar este payload a un usuario, podemos usar el siguiente `iframe`: ```html