Так-же, как вы выполняете код сниффера, только вместо него, требуемый код. А проинклудить js можно так: "", через него можно выполнять и html (document.write и т.д). То, что вы "вошьёте" через пассиву, будет существовать только конкретно для вас, т.е не запишется на страницу статически, а только после отправки запроса на уязвимый параметр.