Да там может быть 1 строчка кода, которая может нахрен снести весь сайт или дать полный доступ злоумышленнику.
Если вы дружите с php, то открываете каждый файл и проверяете, можете автоматизировать поверхностный поиск, но 99% гарантии тогда не будет, если не дружите, то нанимаете программиста и за $$$$$ вам все сделают.
Чтоб не быть голословным, простой пример кода(шелла):
//КОД УДАЛЕН
^^^
Добавляем эту строчку кода в какой-нибудь файл(зависит от структуры кода), далее просто отправляем POST запрос на нужную страницу и вуаля..
Учитывая, что ТОТ чувак знает что да как в вашем скрипте и учитывая, что у него был доступ к нему, то уж поверьте, есть уйму разных вариантов, как докучать вам. Что там код выше, можно просто оставить какое-нибудь поле без фильтрации и уже помощью него достать информацию из бд или сделать что-то иное
Средний