если заставишь жертву под каким-нибудь предлогом вставить в адресную строку javascript для адресной строки-то куки придут 100%.проблема только в том что если послать ссылку жертве,в которой тот же javascript код-то он фильтруется,даже зашифровка не подойдет.надо найти пассивку на mail.ru