sunsan, как заткнуть дыру на своем сайте написано в конце поста - проверять все входящие через GET параметры.
Написал только потому, что сам с подобным столкнулся и мой сайт подобным образом "исследуют" третью неделю. Кто предупрежден - тот вооружен.
Для нормального хакера пост бесполезен, для хакер-кидов готовых решений по взлому с примерами уязвимых сайтов здесь нет.