mincao

Это только то, что чаще всего. Бывают и вставки обычного, нормально форматированного кода, который ещё надо прочитать и понять (хорошо что большинство файлов можно отсеять сравнением с официальными исходниками CMS, иначе это было бы вообще нереально). Бывают очень небольшие вставки, разбросанные по комментариям. Бывают просто однострочники, которые никак себя не шифруют, но в общем массиве кода никак не выделяются. Бывает PHP-код в базе (всякие сниппеты, плагины, особенно это сплошь и рядом в modx, но и в нормальных CMS тоже такое есть). Очень разное бывает.