непосредственно через xss залить шелл нельзя. посмотри как там авторизационная система для администрации выполнена, мб фейк+xss (почти нереал по причине громоздкости) или если на сайте есть какая либо форма авторизации для обычных пользователей, зарегестрироваться посмотреть что там в куках передается, так удаленно про xss сложно что то сказать
__________________
Дети индиго - это бездари, не надо песен! В пять лет едва говорить начинают, мы в этом возрасте стихи наизусть читали!
з.ы http://www.youtube.com/watch?v=sNsQe0KByRY Я ПлакалЪ