При проведении xss-кражи куков тебе возможно и не потребуются эти символы. Или тебе прямо обязательно нужен alert(99)?