Жаль тебя разочаровывать, но идея xss таким боком далеко не нова. Вставить SSI конечно здесь у тебя не выйдет, но вот спереть куки или при желании что-то еще комплектом JavaScript+VBScrupt+HTML сделать можно.