Отраженный XSS возникает, когда пользовательский ввод, включенный в URL-адрес, отражается в источнике страницы без экранирования.
Теперь многие вещи могут быть введены пользователем, например, ваш ввод в форму поиска, сам URL-адрес. пример:
https://vulnerable.com/<script>alert(1)</script>
, скажем, после посещения URL-адреса, когда вы проверяете источник страницы в своем браузере, вы видите <script>alert(1)</script> где-то в источнике страницы. Это отраженный xss, и его можно использовать для эксплуатации других пользователей, так как любой, кто посетил эту ссылку, будет запущен, а его куки будут украдены, если отсутствует флаг httponly
Self XSS self Xss is xss, который выполняется в контексте пользователя, отправившего полезные данные. Скажем, веб-приложение имеет функцию профиля, а в функции профиля у вас есть возможность указать псевдоним. теперь в этом веб-приложении вы не можете просматривать профили других пользователей, а это значит, что нельзя заставить другого пользователя просматривать ваш профиль. Большинство банковских приложений такие. Теперь, если параметр псевдонима уязвим для xss, xss здесь будет self xss, потому что только вы можете просматривать свой профиль пользователя, а xss будет выполняться только в вашем собственном контексте. Вы можете согласиться с тем, что кража ваших собственных файлов cookie не имеет никакого значения