Я нашел Xss...
запрос подал вот так <script>alert(document.cookie)</script>
увидел свою сессию, а как сделать так что бы это отсылалось на мой сниффер и не только моя сессия=))?