lj_form_auth стянуть заранее со страницы несложно, challenge-response не проблема значит. С Referer сложнее, у меня только под Firefox получилось, там спокойно сработало xmlhttp.setRequestHeader('Referer','...'). Но под Fx уже бы журнал удалился — хэдеры есть, форма есть — уже не отличить от обычного запроса. Но вообще ошибся, AJAX, значит, не решение тут.

Впрочем, ещё сейчас появилась мысль создать скрытый фрейм и в нём поиграться с DOM, просто «нажав» кнопку удаления за пользователя. Кросс-доменные вопросы нас не должны были беспокоить, а вроде бы больше ничего и не остаётся в такой схеме… =/