Чем ловить шеллы и эксплоиты на php-сайтах?
Поиск по eval, baase64 может помочь.
Идеальный вариант - сравнение заведомо чистой копии сайта с зараженной.
Средств 100% ловли нет. Но проверяющие запросы по сигнатуре есть.  Но они при большом количестве запросов могут неплохо нагрузить сервер. 
Лучше каким нибудь айболитом или кламав по крону делай проверку и смотри результат.