на одном форуме получилось вставить между тегами
[ IMG]...[ /IMG] ссылку на снифер, в итоге каждый юзер, просмотревший мой пост, оставлял на снифере ip и куки. сам вопрос: это и есть пассивная xss? так же выходило вставлять в посты джава скрипты и они выполнялись. подскажите какие можно проводить более интересные операции кроме как кража куки или отображение айпи.