我被要求调查一个客户网站的安全性，该网站在访问时显然会抛出抗病毒信息。
规格：
- 它被检测为 Cufon 字体内的 Blackhole 漏洞利用工具包。
- 该漏洞利用添加了一些 Javascript，旨在从非站点 URL 加载更多 Javascript（当前已关闭，因此无法进一步分析。）
- 该页面似乎是纯 HTML —— 根本没有服务器端代码。这排除了相当多的攻击向量。
- 页面上唯一的其他 Javascript 是 cufon.js、prototype.js 和 Google Analytics。
为此：
是否有可能使用 Cufon.js 或 Prototype.js 写入服务器的文件系统，最终将这些脚本用作 Blackhole 的攻击媒介？
如果没有，除了服务器级别的漏洞（SSH/FTP 密码、不安全的服务器配置等）之外，是否还有其他可能性，可能除了设计师使用受损的盗版字体之外？
非常感谢！