Немного ты не прав. Чаще всего есть инъекции сразу на админа или через юнион можно забрать пароль админа. Пхп-инъекции встречаются реже. Иногда есть инклуд-баг. Но его уже почти нет.