Здравствуйте, Sinclair, Вы писали:
S>Надо полагать в урлах к stat.html и к script.sh. На всякий случай напомню, что фреймы, загруженные из разных доменов, не могут взаимодействовать между собой.

действительно, обратившись к главному html файлу как к http://localhost/main.html вместо /home/stasiko/main.html всё получилось.
я помнил про XSS, но не заметил такой мелочи.
спасибо всем кто откликнулся!