эти xss либо где-то выкладывались и были проиндексированы..
либо оказуются в базах поисковиков по причине того что гугл и прочие шпионят за пользователями инета )..