Не очень правильно ты понял. Куки те придут с той страницы, на которой открывается твоё сообщение с xss. В мембер ид надо ставить не 1, а мембер ид админа. Это не всегда 1. Узнаётся очень просто. Просто мышку на ник навести и внизу браузера ссылка отобразится.

__________________
Full DNS report