ты сам себя запутал)), ты написал дословно - вставляет скрипт в сайт донора, то есть ломает вебсервер и пишет туда свой скрипт. А по факту - просто подключает скрипт к текущей страницы в браузере))
Нет, не подключает, так как подключенный скрипт изолирован от сайта. Это политика безопасности хрома.