Исправление shahid, (текущая версия) :
Это не эксплоит. Оно за пределы браузера не может вылезти.
4.2. Добавь из js на страницу тег картинки, в адрес картинки ксакеп впишет свой хост, в параметры — куку.
UPD: Держи другой пример слива данных через js, которого на целевом сайте даже нет: http://www.acunetix.com/blog/articles/google-xss-website-optimizer-scripts/
Исходная версия shahid, :
Это не эксплоит. Оно за пределы браузера не может вылезти.
4.2. Добавь из js на страницу тег картинки, в адрес картинки ксакеп впишет свой хост, в параметры — куку.