Помогите разобратся где дыра?

Скорее всего - не SQL - писали то в файлы а не в базу. Иньекция кода возможна, если практиковали всякие eval. Но там все равно на месте смотреть надо - возможно софт не обновлялся, шелл шоки и все такое, логи поглядеть. Движок какой - судя по переменным самописный, а судя по Вашим вопросам - писали его не Вы. Кому заказывали? Может бэкдор в движке. Короче - вариантов тьма.

Правильно Вам говорят - подтяните профессионала и не жмитесь - если у Вас денег качают с этой дырой - больше потеряете.

движок самописный, скрипт скачал бесплатно в инете.

ну вроде как проблему решил, всем спасибо.

ТС пиши в личку, могу помочь посмотреть и почистить сайт, а вообще чтобы такого не случалось то добавляйся в сервис что у меня в подписи, тогда железобетонно будешь спать спокойно а если какое гумно кто добавит то сразу получишь уведомление на емайл (не сочтите за рекламу)

А сколько именно это будет стоить для одного создаваемого сайта?

Спецы в разных сферах деятельности бывают разные - компетентные и не очень компетентные, добросовестные и не очень добросовестные или совсем не добросовестные, порядочные и не порядочные, а программисты делятся на восемь различных типов! Поэтому компетентного, добросовестного и порядочного спеца ещё найти надо!

И в чём именно конкретно эта работа выражается?

Для начала нужно поднять логи вебсервера и внимательно изучать, какие запросы делались.

Есть программисты, и есть админы. Это разные специализации, все, что есть в них одинакового - это сфера деятельности в вакансиях (IT); и пока те же работодатели этого не поймут, они едва ли смогут оперативно справиться с проблемами.

Админ сможет достаточно быстро локализовать проблему, но ему вовсе необязательно по профилю образования знать, как ее решить (в случаях, не связанных с правами доступа).

Программист может проблему решить (во многих случаях), но для ее локализации ему нужна поддержка админа (иначе процесс локализации может затянуться).

В большинстве случаев взлома так или иначе виноваты работодатели, нанимающие админов/программистов подешевле, либо устанавливающие бесплатные CMS со всеми известными дырами, не посоветовавшись с компетентными спецами.

Но, как утверждают спецы, тот же WordPress можно переписать чисто под свои нужды, и не накатывать дырявых плагинов!

Если это камень в огород Wordpress то прошу указать мне какая же дыра в 4.ХХ версии имеется? Как раз чистые движки надежны. Основная дверь для лиходеев - дырявые плагины. Вот тут список такой что лишь успевай пальцы загибать.

что за спецы такие? переписать ВП и лишиться возможности обновления?

дыры постоянно находятся и исправляются, как в движке так и в плагинах, в этом и смысл, не? и кому нужен чистый движок, если весь дополнительный и нужный функционал в плагинах?

Прочитал об этом в сообщении # 4 от 30.12.2015 г. в теме "Какая CMS лучше?" на одном из форумов