все снифферы принимают значения.В том числе и куки.Надо просто добавить "?+document.cookie"(без кавычек).
А если жертва просто зайдет по ссылке, то конечно куки не придут.