Взломали сайт и размещают ссылки, не знаю как отловить

Могли при первом взломе, так называемый шел залить. Поищи по форуму думаю есть специалисты кто сможет помочь.

Ищите шелл, и компонент или модуль через который был взлом, первое удаляйте, второе латайте. Шелл ищите в папках к которым есть доступ из админки, в папках изображений к примеру (файлик с расширением .php), дыру ищите по логам.

по подробнее можно про то где именно появляются ссылки ... да и лучше сайт покажите в личку. Может смогу что то подсказать по теме

один из простых способов поимки шела это проверка даты изменения на файлах. Хотя это не всегда помогает , ибо это можно обойти командой touch.

find ./ -mtime -2 покажет созданные или измененные файлы за последние двое стуок.

(Еще можно поискать по регулярному выражению во всех файлах по известным сигнатуркам)

Но лучший способ это все стереть с хоста и залить по новой с локалхоста или где там у вас чистый сайт висит. С бекапа не желательно, ибо могли забекапить уже с бекдором.

готов помочь

Ответил в ЛС

спасибо за ответы, шелл нашел, совершенно случайно, название файла подозрительным показалось.

лежал он у меня уже больше полгода, судя по дате, и был уже не в 1 бэкапе.

теперь буду искать какой скрипт через него заливался.