Руками. Находишь сайт под xoops 2.0.16 и там теоретически есть скуль-инж в параметре id, функции get(). Чего непонятного? Почитай статьи по sql-inj, и ещё гугль твой друг.