[vidak]

tako su uhakovali.
Koliko sam za sada shvatio, preko GET metode su gađali /tmp dir odakle su nekako upisali sadržaju u index.php

@Miroslav, uklonio sam aplikaciju.

sa ./../../../../../../../../../../../../../../../../../../../../../../../ su gađali u root /tmp dir ili gde god da je chroot-ovan
a onda sa /tmp/x-treme%0000 HTTP/1.1 ... blage veze nemam šta su radili.
U svakom slučaju sam im zahvalan jer ću ovo provaliti pre ili kasnije pa će mi zlata vredeti.