это конечно все хорошо... но http://astral.mail.ru/ и http://mail.ru/ это разные домены... и украсть куки с домена http://mail.ru/ при помощи уязвимости XSS http://astral.mail.ru/ нельзя.