Javascript:alert(1) без ":"
 

Здравствуйте, у меня вопрос.
Есть 2 кода:

<a href=javascript:alert(1)>XSS</a>

<a onmouseover=alert(1)>XSS</a>

Можно ли их переделать так, чтоб в первом случае получился js код без символа ":", а во втором случае - событие без приставки "on"?

Может можно применить функции unescape или String.fromCharCode?

1 нет

2 да,если добавить на страницу <script>, который добавит обработчик события сам ... короче, тоже не годится