Как же можно утащить его куку если его там не бывает ??? Кука ведь хранится на его машине....
Без админа можно взломать только с помощью Sql или Php -инъекции....
Xss тут помочь не может