https://habrahabr.ru/company/ua-hosting/blog/270599/
Вот статья, видимо современные браузеры уже пофиксили это, в ие 8 вроде работало =)
<div style="background:url('javascript:alert(1)')">
п.с. когда первый раз на это наткнулся работал тогда в банке, там старинные FF был и 8 ие, в каком-то из них работало...
