Когда ставил прошлый движок (ноябрь 2002), то причина была одна: не было нормальных древовидных форумов с использованием MySQL. Кроме того, MySQL - капризная штука, изменил поле и начинает выдавать ошибку, для исправления которой, поди найди в базе, какое поле "битое". А на старом движке все было просто. Но и было недобство - большое количество мелких файлов (по файлу на сообщение).

А с хакерами все индивидуально. Бывают просто "практиканты" - их задача просто разместить сообщение о себе любимом, обойдя пароли скрипта. Это не страшно - просто удаляется сообщение и все приходит в нормальный вид. С такими я собственно и не боролся - все улаживалось в результате переписки (надо просто объяснить человеку, что большой славы от этого ему не поиметь и использовать это для серьезного хакерства невозможно).

А есть те, кто хочет использовать сайт в своих целях. Их задача разместить на сайте программу-менеджер, с помощью которой можно использовать сайт. У последних способ один - найти "дырку" в скрипте, позволяющую размещать файлы. Причем неважно какие. Последний хакер вообще занес на сайт файл-менеджер с расширением .jpg ("закосил" под картинку), но, правда, это была моя явная ошибка: на сайте был в скрытой директории форум с разрешением на размещение картинок - создавался он скриптом автоматически и я его удалял примерно раз в месяц, в перерыве между удалениями хакер этим и воспользовался. Другой способ - вставить скрипт в файл сообщения. Если скрипт воспринимает при открытии файла программыне коды, как команду на исполнение, то это тоже способ. Скрипты с такими "дырками" надо удалять.

Собственно поэтому на старом скрипте было отключено размещение файлов на сайте, а сами файлы сообщений хранились в специальном текстовом формате, который сервер воспринимал, как текст. Но попытки дать команду скрипту на размещение файла или вставить php или perl программу в тело сообщения, я вылавливал в логах примерно раз в два месяца, но команды на размещение файлов отклонялись, а программные коды выглядели как иероглифы при открытии, но не исполнялись. Последние сообщения я просто удалял и перестраивал индексную страницу, а "пользователю" портил пароль и банил по IP (но, имхо, это было лишнее, так как вероятней всего одного эксперимента для хакера было достаточно и он уходил навсегда). Так что зашиту предыдущего скрипта проверило время. Правда, у того скрипта была "дырка" в админском интерфейсе, но я про нее знал и не ставил его вовсе, предпочитая админские действия производить через обычный ftp-доступ.

С уважением