Pradėt nuo to, kad pasidaryt normaliai - SuExec+SuPHP. Tada pagal userį 
ir pamatysi

On 2011.12.21 13:11, Emnt wrote:
> sveiki,
> yra serveryje keliolika svetainiu. Jos visos daugmaz skyletos.
> Greiciausiai per kazkuria is ju ikeliamas botas. Pvz. /tmp folderyje
> atsiranda folderis "ppqoe" o jame php skriptai, kurie skirti spamui
> siuntineti. Istrinu... po keliu dienu vel tas pats tik folderiu ir
> skriptu pavadinimai kiti.
> Perziurejau visus logus... nieko nerandu nei pagal tu failu datas, nei
> pagal pavadinimus...
> Klausimas: kaip sugaudyt per kuria svetaine ikeliamas tas bot'as?