ну смотря какой сплойт. если для какого-нибудь движка, где есть скажем sql инъекция, то совсем не обязательно запускать его, можно просто выдрать кусок кода, где указан бажный скрипт и заюзать его вручную.