Например, поставить атрибутом тега скрипт, который заменит адрес одной из картинок на странице на адрес "адрес_сниффера?"+cookies
Браузер начнет загружать эту картинку, обратится к снифферу, передав ему куки. А снифер запишет, например в файл.

Если куки содержат не пароль а его чексумму, например md5-хеш, восстановить настоящий пароль нельзя. Т.к. их бесконечное множество. А найти реальный можно только перебирая все варианты.