Если на сайте куки которого ты хочешь получить есть даже пассивная xss то можешь, т.к. ты можешь выполнить с помощью java script любой код в его браузере, тоесть сделать так, что б он зашел на этот сайт и выполнил там java script код этой XSS, а если учесть что пассивные xss есть почти везде, то твои шансы увеличиваются.

подругому никак...

__________________
Карфаген должен быть разрушен...