XSS заманиваешь на ссылку...
Есть много способов в принцыпе
<script>alert(document.cockie)</script>

Вот справочник по XSS

http://antichat.ru/crackchat/HTML/