JS działa lokalnie na maszynie użytkownika. Co miało znaczyć te wyświetlenie Cookie za pomocą JS, skoro mogę to samo zrobić w przeglądarce przeklikując parę okienek w FF? Chciał zhakować własną sesję...?

Ja się tam na Tym szczególnie nie znam - ale skoro da się użyć alert to dlaczego nie użyć przykład location.href żeby za pomocą zmiennych GET przekazać to Cookie do obcego serwera?

Nie własną a czyjąś, licząc na to, że ofiara wejdzie na podaną przez niego stronę.

A może to tylko demonstracja zwykłemu użyszkodnikowi o co kaman mniej więcej? Coś pokazać trzeba by każdy widział, że coś tam faktycznie się dzieje

A po co ja sam miałbym sobie wklejać kod z location.href w textarea, potrafisz mi wytłumaczyć? Bo to, że mogę, to ja wiem, ale po co sobie miałbym to robić?