Хз где там дыры искать, с учетом того, что там 1 php страница...
http://yakumi.ru/guest.php?pageNum_guest=100000000000
После правильного ввода капчи не удаляется ее сессионное значение и с тем же кодом можно отправить сколько угодно сообщений. Проще говоря, капча на этом сайте только чтобы пользователям мешать

А на ддос как проверял, F5 зажимал или через host-tracker.com?