По твоих словах я понял, ты нашел пассивную хсс, так если ты верное скорректировал яваскрипт то должно все работать.. Думаю можно напомнить, что при пассивную хсс, ты должен заставить жертву перейти по вредосной яваскрипт ссылке. После ждать прихода куков на сниффре. Безусловно если ты сам ссылке зайдёшь то тебе придут твои куки.(в том условии если верно сделана ссылка) Если предоставить оригинал пассивной хсс, то можно будет детальней расмотреть твою проблему.
