Shell dosyaları genelde siteadresi/wp-content/themes/shelladı olarak atılır fakat yapan kişi plugine atarsa plugine gözükür :)
Ben Wordpress kullanmıyorum, kendi web yazılımım. Genel olarak incelediğimde birkaç dosyayı tespit ettim fakat yine de dikkat etmek gerekiyor. :)