Читайте логи, они рулез. И не только Web-сервера. Мне однажды в /var/log/messages (если мне память не изменяет) попались сообщения от wget, который запускали для заливки файла. По времени потом прошерстил access.log и нашёл URI скрипта, в который заранее подставили бяку.