ну рефлектед когда вы заставляем пользователя послать запрос (цыкнуть в сцылку например) в ответ ему прилетает страница с внедренным скриптом.

сторед, это когда мы что то делаем что потом, когда чувак сомтрит страницу, приводит к срабатыванию скрипта. Типичный пример stored - форумы и т.п.

stored xss в user-agent очень популярны в различных CMS и смотрелках логов, которые отображают сколько народу с каким браузером нас сегодня посетило. А вот с reflected... Что то ума не приложу как заксплуатировать. Послать запрос от юзверя с подмененным user-agent получается, (использую IE) но тогда не получается выполнить скрипт в контексте безопасности того сцайта, которого надо... тоска в общем.

Как я понимаю шочется какомуто админу XSS впарить? и почему именно в User_Agent почему не в рефелере?

не понял.
в случае если возможна XSS в реферере, то reflected варианте проэксплутировать....