* Sql injection ile açık bulup user pass lara ulaşabilirsin bununla ilgili bir çok exploit mevcut ama wordpress hash leri zor kırılıyor çok basit bir şifre değilse eğer.
* Shell atmamış belli ki atsaydı eğer anasayfa index ini değiştirirdi. Varsayalım ki shell attı diyelim, şifreleri değiştirsen bile çözüm değildir. Çünkü shell üzerinden veritabanına erişim sağlanabiliyor adam girip tekrar şifreni değiştirebilir 5 saniye sadece : )
* Bu işi yapıyorsa madem Türk sitelerine amacı index atmak ise serverda izin geçişler var ise linux sürümü de eski ise server ı root layabilir. Tüm sunucuda ki sitelere index atar.



Görüşüne bakılırsa bu kişinin pek zone-h kaydı yok aldığı index kayıtlarına bakarsak ta acemi gibi görünüyor. Konuyu açan arkadaşın sitesinin de zone-h kaydını almamış.
10 yılı aşkın bu işi yaptım : ) eskiden önde gelen önemli bir grubun yönetim kadrosundaydım. Bu deneyimime istinaden yazıyorum yanlış anlaşılmasın