Короче давно была темка кто то писал не помню может гема.
Фишка такая указываешь папку текст парситься на уязвимые функции.

типо
include(
require(
mysql_connect(
system(
exec(
fopen(
fwrite(

и еще короче смысл понятен просто стоит щас задача перелопатить движок на 14 метров php кода.

Всем спасибо.