前に受けたハッキングの手口が何となく分かったから書いとく

①サーバーのアカウントを取る
②Google等を使って同じサーバーでMTやWordPress等のMySQLを使ったページを見つける
③PHPで　passthru("ls /home/②で見つけたページのユーザー名/public_html/パス"); とスクリプトを書いて実行
④MySQLのパスワードが書いてありそうなconfigファイルを見つける
⑤PHPで passthru("cat /home/②で見つけたページのユーザー名/public_html/パス/④で見つけたファイル名"); とスクリプトを書いて実行
⑥するとconfigファイルを見ることができるからMySQLのパスワードを探す
⑦ユーザー名と⑤で見つけたパスワードでFTPにログイン（MySQLとFTPのパスワードは同じ）
⑧ファイルを書き換える

多分これでいけると思う
元々passthru(); でのコマンド実行に制限を加えてないことは知ってたけど（サーバーのスペックとか見るのに使った）、ユーザー2つもってたから試しにやってみたら違うユーザーのファイルにまでアクセスできた。