Xss (названа чтоб не путать с css (стили), cross site scripting (выполнение скрипта JavaScript короче)) - это единственный пожалуй способ угнать куки (document.cookie). Но сейчас на нормальных сайтах стоят очень даже нормальные фильтры. Если бы в php следующий код

работал, и в адресной строке выполнялся код, то это бы было бы очень просто вытащить куки, достаточно открыть эту страничку в текущем окне браузера, но нет, так нельзя. А про отправить, темболее.

Короче читай и разбирайся. Как уже писалось выше.