Атака на mysql

Skom, шаманить то можно, и скорей всего так и было, но как узнать где уязвимость в коде...

Дебажить надо - для начала замерять время выполнения скриптов и писать в базу (если превышает некоторое значение; смотреть в чем дело - просто страница или запрос пост или гет специально составленный для загрузки мускула....) - потом сужать область поиска....

Если хоть одна из переменных Гета/Поста/Куков, используемая в запросе не экранируется и не проверяется на плохие слова - вот и дыра.

Если и не поломают, то бенчмарком можно одним запросом послать базу в глубокий даун.

Базу можно подвесить и без уязвимостей sql-injection. Достаточно найти долгоработающий скрипт. Например полнотекстовый поиск для бд, преобразование изображений для всего сервера и долбить его. Уязвимостей нет, но кривые руки программиста, который подумал: "Часто искать не будут и много страниц не будет, поэтому поиск like покатит",- а потом появились ещё +пара гигов контента и желающие поискать каждую секунду не по разу...