kravch_v, ты в начале января уже выкладывал эту XSSку на гугле. Там выполнение JS-кода происходит не на google.ru(com), а на googleusercontent.com. Соответственно, куки будут с домена googleusercontent.com. Как их можно использовать на практике?

upd:

Куки на googleusercontent.com есть и украсть их можно, но в них не содержится сессии google.com