[Resolvido] invasao por java script injection como proteger disso

ola gente

uma semente do mal (hacker) fez um insert de um java script doido no rodape do seu do site do meu cliente

sendo que o result iframe no rodape do site

que redireciona para o site dele

eu removo o bicho mais o monstro inseriu novamente

sendo que o suporte tecnico do meu provedor so tem burro que nao ajudar em nada

ele so consegue colocar na index do site e na index do admin

sendo que o admin nao e disponivel para web e sua posicao e meia que oculta vamos disse assim

www.site.com/pagina/reserva/admin

minha suspeita que ele esta usando um scan pq ele inseriu agora a tarde no admin2 que era admin

eu me lembro de um code que bloqueava scan no server online um htacess para ser sincero

como e iframe eu coloquei um jquery

$(iframe).remove();

e nao apareceu mais

a minha duvida e como esse cara consegui inserir isso ?

e como eu posso me protege desse tipo de ataque ?

Desculpe gente eu nao posso colocar o nome do site aqui :(

a tecnica dele usada e java script injection

sendo que e politica da empresa nao atacar

pq se eu pego ele dentro do admin qualquer coisa que entra dentro do admin e um ip

eu teria como zoar ele

como politica de segurança usei um htacess agora para ninguem acessar mais o admin nesse horario da noite

mais e o site como eu resolvo isso

to sem ideia :(