Reflected XSS
XSS-Variante, bei der eine bösartige Payload in URL oder Request steckt und ohne Persistenz in der Serverantwort „gespiegelt“ zurückkommt. Erfordert Social Engineering (Phishing-Link) zum Auslösen. Häufig auf Suchseiten und Fehlerseiten.
Klassischer Vektor: example.com/search?q=<script>...</script>, wenn die Suchseite „Ergebnisse für: <script>...</script>“ ohne Escaping anzeigt. Der Angreifer schickt dem Opfer die URL, das Opfer klickt → das Skript läuft in dessen Browser-Sitzung. Weniger verheerend als Stored XSS (pro Opfer, nicht persistent), aber weiterhin gefährlich für Account-Übernahmen. Schutz: Output-Encoding aller Benutzereingaben, CSP, URL-Validierung. Moderne URL-Verkürzer helfen Angreifern, verdächtige Links zu verschleiern. Browser-Gegenmaßnahmen: der XSS Auditor (veraltet, seit Chrome 78 entfernt – wegen falscher Positiver), CSP ist die moderne Verteidigung.