Si te injerta  código php no xss a no ser que tengas en el admin algún panel que te permita modificar archivos, pero pueden ser muchas causas desde tener un php-shell puesta por el atacante o que accedan a tu ftp, telnet o etc.

Yo miraría los log y si a no ser que este borrados como suele hacer un atacante con dos dedos de frente puedes ver que ocurre y desde que ip se ha hecho pero puede estar utilizando un proxy o una wifi publica.

Puedes denunciarlo.

No estoy seguro pero creo que injecta http://hcolina.getce.com/session.php?id ese link y si tienes una sesión abierta la roba.
Pero no estoy seguro si quieres saber sobre lo que hace ese código o como fueron capaces de colocarlo.

Tengo una pequeña duda sobre arp-spoof y el sniffeo a toda la red, quiero sniffear toda la red, pero si sniffeo mi router no capturo nada (no se si lo haré bien), utilizando ettercap de este modo:
consigo capturar paquetes pero solo de los host activos en ese momento luego si se conecta un nuevo dispositivo no captura los paquetes del mismo.
¿Alguna sugerencia para para poder capturar los paquetes si se conectan nuevos dispositivos o como sniffear correctamente el router?

he probado con john the ripper --incremental pero no encuentro como hacer que utilice números y letras mayúsculas y minúsculas y que vaya de 5 caracteres a 9.

¿Alguna herramienta/comando para sacarla sin diccionario?

No

Pues ya esta todo resuelto, gracias.

Tengo este hash no se que tipo es, ni nada como podria desencriptarlo, me valen todos los metodos.

Pongamos que tienes exactamente este form:

como robarías las supuestas credenciales en este mismo form.

Aquí tienes todos los reportes de esa versión.
http://www.cvedetails.com/vulnerability-list/vendor_id-97/product_id-585/version_id-121223/Openbsd-Openssh-5.3.html

y si no siempre puedes hacer ataque por diccionario pero no suele ser eficaz.