Подскажите пожалуйста. а как именно базу чекать?
по поиску искать чтото вроде "$_REQUEST" ?)
Еще какие слова поискать можно?

Новые делать как раз стоит, не стоит забивать на обновления

А на чём? Видите ли, найденные уязвимости не говорят о "плохости" системы. Вопрос же не в самих найденных уязвимостях, а в оперативности их закрытия. Вот сейчас появляется куча топиков, мол взломали сайт. Так проблема не в друпале, а в том, что люди не обновились. Представьте себе, что подобную уязвимость нашли на впшечке, или джумле (не к ночи будет помянуто), всех точно так же за неделю предупредили, кто-то забил на обновление, сайт взломали. И что теперь? Система плохая? Или зря не обновлялялись?

Единого алгоритма нет.
Могут куда угодно залить, что угодно.
У кого доры, у кого майнеры.

Так что проверять всю файловую систему сайта.

Общие действия drupal 7 из консоли под ssh root в папке сайта:
rm -rf misc scripts includes modules themes profiles
потом распаковываем aрхив D7

я ставлю затем права 555 на все кроме паблика для файлов (оный лучше переименовать например myfiles) например так
find -type d -exec chmod 555 {} \;
find sites/*/myfiles -type d -exec chmod 755 {} \;

index.php может быть только в корне поэтому
find */ -type f -name "index.php" -delete

В папке файлов не должно быть *.php
find sites/*/myfiles/ -type f -name "*.php" -delete

На settings ставим 444
chmod 444 sites/*/settings.php

P.S. по последним вирусам можно так же проверить и потом если нужно добавить -delete
find */ -type f -name ".*.ico"
find */ -type f -name "*.php" -exec grep -i -l -H "\(\$_COOKIE\,\ \$_POST\)" {} \;
find -type f -name "*.ico" -exec grep -i -l -H "stream_context_create\ " {} \;

Ну, запустить жыпэг на сервере ннада еще умудриться )))