ImperiO, есть два способа взлома всего по принципам, это SQL иньекция и внедрение кода в XSS, подготовленный заранее интерфейс для загрузки я тут не учитываю. При SQL иньекции проникновение в запрос, во втором случает загрузка шелла или выполнение php иньекции. Первый способ решается фильтрация всех суперглобалов, второй установка антишелла. Но в любом случае надо знать язык на все 100%