Посмотри исходный код на наличие живностей(iframe и.т.д). Посмотри по фтп последнюю дату правки файлов и глянь , что последним менялось, там и ищи. Скорее всего тотал командером пользовался и пароль сохранял.