эх.... со сотороны сервеа запускаются такие скрипты как .php и .pl ну и .cgi + еще некоторые СЕРВЕРНЫЕ языки... если ты хочеш провести XSS то только с формы... и это будет происходить не на сервере а у клиента в браузере!!!
Если только значения формы не передаются ф-ии system() и ей подобной... тогда можно попробовать чтото типа: ;id;