1. Открой исходный код html-страницы в браузере и посмотри, как там встроился скрипт.
2. На втором скрине alert(XsS) - не правильно, XsS надо взять в кавычки.
3. В XSS DOM-Based надо посмотреть не исходник html, а зайти в инспектор (F12 в Firefox). Ниже не скрине пример