на сайте вроде шеллов не нашлись. хотя ХЗ.. но очень недоволен с безопасностью Joomla. 4 сайты делали и вс 4 были точно также компрометированы. ХЗ как это делали
А доступ к базе есть? Там же хэш вытащить и побрутить. А если фтп есть то вписать может код куда который пароль бы сохранял в файлик перед хэшированием.