ayuda ataque hacking a mi web

[apañero]

Ok Gracias, usaré mysql_real_escape_string para las consultas.
Formularios para enviar archivos no hay más que un par, y son para archivos jpg.
Todos los archivos tiene permiso 755, y las capetas. ¿Debería de cambiarlos?

¿Y cómo sube el hacker los archivos al servidor? He contado 5, uno de ellos en el root y los otros en el directorio del programa de noticias.

Graciass.