1. Чтобы добавить рекламу на сайт нужен либо доступ через админку хоста или по SSH, либо занесенный каким то образом скрипт (PHP, PERL в каталог cgi-bin) на сайт, в котором есть алгоритмы управления сайтом (редактирования кода или базы данных для добавления записей например об админе) через командную строку браузера. Занести файл можно через включенный upload в каталог к которому есть доступ из браузера или по FTP (SFTP).
2. Если upload открыт, то его надо закрыть или по крайней мере запретить к каталогу закачки доступ из браузера в .htaccess, чтобы закачанный в него под видом картинки PHP-скрипт не возможно было запустить извне. Если upload закрыт, то возможно у вас утекли пароли доступа к админке хоста, к SSH доступу или FTP, тогда меняйте пароли и перезаливайте сайт полностью с нуля.
3. Самое сложное для поиска, если есть дырки для SQL-инъекций (ваши собственные разработки или сторонние модули плохо фильтруют входные потоки данных, в строках поисковых запросов и т.п.) через которые можно оперировать данными в базе, но добавить рекламу таким образом почти невозможно. Обычно причины бывают более банальные. От этой и некоторых других напастей помогает использование php5-suhosin провайдером, если решить возможные проблемы с настройками.
4. Получение паролей доступа от хоста возможно если у хост-провайдера проблемы с безопасностью. Если взломщик получил доступ к операционной системе хоста, тот тут вы бессильны. В этом случае надо менять хост-провайдера.
