Права 777 только на папки upload и тп. В них файл .htaccess для запрета исполнения php и тп. Посмотрите нет ли удаленного подключения к MySQL. Не запрятан ли бекдор? Да, а не залились ли к вам через соседей?(рутнули хостера)