Скачает зашшифровванный сайт и будет нормально работать у него. Файлы конфигов только заменит. Все верно. Если пользователь сможет исполнять свой PHP-код, он многое сможет сделать. Поэтому и говорит: пустили в админку — сайт отдали.