Ну явно тогда код в скриптах, grep по файлам может не помочь, так как в основном такие вещи не в открытом виде. Лучше смотреть на последние измененные и новые файлы и колбасить от них. А почему apache запускаете от пользователя? Может его запустить от другого юзера и дать права на запись только там где надо? Еще бы советовал поставить какую нибудь систему версионности (git, mercurial), тогда в одну команду сможете найти изменения в скриптах и новые файлы. Конечно надо будет поставить исключения на файлы где храните контент-файлы юзеров (фото и т.д.)
