Уже браузеры выкупают где хсс где нет. Я это описывал в каком-то посте. Советую проверить на новом хроме, опере, мазиле. Нету возможности вставлять код через ивенты как это все делали раньше.
обычные <script>alert()</script> да, но есть еще несколько типов xss, которые аудитор не может отловить.
Stored, Dom based, и инъекты в сам JS, типа <script> param = "INJECT HERE"; </script> т. е. например: Code: http://www.eurosport.ru/_search_/search?q=lol%27;alert%28/XSS/%29;//&client=www-eurosport-ru&proxystylesheet=www-eurosport-ru&site=www-eurosport-ru&access=p&output=xml_no_dtd
Да это будет работать но низкая вероятность найти такой сайт, раньше чуть ли не на каждом сайте можно было найти хсс сейчас же все очень плохо. Поэтому хсс мертв.
да нет же жив еще! ты правильно подметил не так как раньше но все еще актуально глянь на статистику http://www.cvedetails.com/vulnerabilities-by-types.php и сюда тоже https://forum.antichat.ru/threads/35802/ assmaday спасибо за ссыклу
