Это понятно, но защититься лучше, когда знаешь откуда и как будут бить.

Вот к примеру у меня.
Даже имея админку - на сайт ничего нельзя залить, БД нельзя скачать (можно поломать из модулей только). Ну натворит он дел в базе из админки, сделал бэкап с Cpanel-и и все.
Вот как тут можно изменить файлы на сервере, когда я так даже из админки не сделаю.
----
Например, в комент вставляется код с сылкой на свой скрипт, который запускается с сервера сайта жертвы, и после этого заменяются необходимые файлы.

Или скрипт никуда не вставляется, а находится у взломщика, в который он вписывает упертый пароль от БД и логин жертвы, и запускает.

Это обрызные предположения :)
----
Никто ж не спрашивает какой именно скрипт и как вставлять, а что, допустим, это возможно.