↑
1. Нужно получить доступ к админке(или сразу лить шелл на сервак)
2. Даже если получишь доступ к админке бэкап оттуда не факт что скачаешь, зависит от того какая админка. Проще залить шелл и с сервака слить все файлы и БД соответственно.
3. Если на сайте xss то нужно угнать куки либо пассы у админов(СИ), модеров и.т.п.