а мона пасс и логин позырить? кстати, он точно без куков???
тогда надо искать не Xss а инклюды, инъекции...