то что ты описал называеться активная XSS + редирект и работает только там где можеш найти активку а не на всех подряд сайтах