Modifica di pagine web fino a che punto?
Hai cliccato su qualche link per arrivare alla tua pagina web?
Hai un cms come sito web?

Di solito solo con i permessi di admin si riesce a modificare pagine web.
L'index PHP (senza l'uso di CMS o Framework) in cui è stato aggiunto a fondo pagina uno script (troiano).
C'è qualche script di terze parti (contatore histat, google analytics e scriptaculous/lightbox), non essendo un sito molto aggiornato le versioni dei vari script sono vecchie di qualche anno.
Il sito ha un form per lasciare osservazioni, con l'input che viene filtrato tramite htmlspecialchars, ma il db non è stato compromesso.
Il sito è hostato su un server gratuito.

Dato che è il codice sorgente ad essere stato modificato, penso che vi sia stato un accesso non autorizzato, benchè la password possa essere considerata robusta (più di 10 caratteri con caratteri speciali e non trovabile su un dizionario).

Ho letto appunto che gli attacchi XSS non modificano pagine web ma da qualche parte questa iniezione deve esserci stata.

Idee al riguardo?
Grazie