Цитата:

Сообщение от nightop

а пассивку можно использовать для подмены формы авторизации например? свой html в js скрипте..

Метод похищения аутентификационных данных с помощью XSS вполне возможен и заключается в возможности переопределения обработчика формы аутентификации вот и всё.
пример
PHP highlight