Witam!
Czy wiecie może coś na temat ataków na strony które są napisane w czystym HTML, CSS, XML oraz JS (bez PHP, MySQL itd).
Jak wygląda bezpieczeństwo takiej strony, czy jest ona rzeczywiście "NIETYKALNA"?

Jeżeli nie wykonuje się żaden skrypt po stronie serwera, to raczej nic z taką stroną nie da się zrobić poza przejrzeniem jej ew atak musiałby być przeprowadzony na konto ftp wówczas można by było podmienić stronę.

W takim wypadku odpadają Ci jedynie ataki wykonywane poprzez sam skrypt. Sam serwer (jako ogólna maszyna podłączona do Internetu), serwer HTTP czy serwer FTP nadal mogą być podatne na ataki.

A co mogę zrobić za pomocą HTTP oprócz podmiany POST lub GET

Nie piszę o spreparowaniu żądania HTTP, ale o błędach/lukach w samym serwerze HTTP (np. Apache'u) bądź jego konfiguracji.