Быстрый фикс взломанного сайта

Не факт, инфицирование могло быть произведено ботом. Разумеется, будет пауза между заражением и началом использования.

Если уже слили базу — с этим ничего не поделаешь.
Здесь же стоит задача временно закрыть дырку чтобы хост не использовался, скажем для рассылки спама или участия в DDOSах.

Да, конечно никто не отменяет всех этих действий, а наоборот лучше их сделать.
В моем случае ситуация была следующей: Знакомый сказал что его сайт заблокировали на хостинге.
Начал разбираться почему — смотрю, есть файлы, их куча и много. А сайт запустят только если, я дам гарантию того что после включения аккаунта нагрузка не будет такой высокой.
Я быстро прописываю эти строчки в .htaccess, письмо администрации с кратким описанием проблемы.
В итоге: сайт работает, вредоносный код обезврежен, можно начать ковырять дальше, т.е. откуда он взялся и как сделать так чтобы его дальше не было.

Да, публичные движки = публичные баги. :)
Но, я понял одно, — люди их любят не за баги, а за низкую точка входа, а только потом уже думают о безопасности.
Что ни говорите а разработка мощного движка с нуля — стоит хороших денег. :)