Кстати, сегодня копался в одном форуме (не скажу в каком ) , и обнаружил гениальную вещь. Известно, что если между двоеточием и словом javasciprt стоит пробел, то скрипт не работает:
<img src="javascript :alert()">
А вот если перед двоеточием стоит табуляция, то прокатывает на ура:
<img src="javascript :alert()"> (после javascript стоит табуляция)
или так тоже катит:
<img src="javascript&#09:alert()">

А ведь известно, что многие форумы фильтруют именно такое сочетание javascript:. А вот  сочетание javascript&#09: как правило не фильтруется

Как результат - форум сразу сдался ))

(Спасибо Егорычу за напоминание о табе)