>> А насчет нападения через протокол DATA попробуйте убрать пробелы.

хмм.. в каком браузере и какой его версии ты увидел свои куки через self-contained xss?