Действительно, background:url(javascript:alert()) не работает. Тогда остается -moz-binding, который работает только в FF 2 и IE7, вот здесь даны примеры:
http://www.thespanner.co.uk/2007/11/26/ultimate-xss-css-injection/

__________________
<? Raz0r.name — блог о web-безопасности