Ломанули тебя, и поставили iframe.

А как этого избежать в дальнейшем?

xss уязвимости закрыть надо скорее всего. Это очень геморно, по-моему, если закрывать все что надо и ничего лишнего.

Суть в том, что на твоем сайте, вероятно, есть формы ввода. Через эти формы пользователь может вводить данные, которые после будут отображаться на странице. Так могли, к примеру, твой пароль получить вставив, через такую форму javascript.

Хотя, наверняка, есть какие-то более изощренные способы)) Я не знаю их.

Я если бы нашел у себя такую хрень попытался в первую очередь найти этот код в исходниках, базе данных, файлах откуда вывод может делаться. Удалил бы и в срочном порядке искать и закрывать уязвимости стал. Плюс пароль от админки стоит сменить сразу.

Да у меня на сайте есть форма, типа гостевой, но на ней капча стоит или это все до жо*ы

Может есть какие то скрипты по защите что б хотя бы снизить уровень риска взлома?

freed-master
Почитай здесь

первое что я бы сделал - это обновил антивир и тщательно проверил свой комп. Потом поменял пароль на ФТП и уже после этого занимался сайтом.

Нашел вот один сайтикпро защиту. В указанной статье приведен класс. Пытаюсь его применить, пишет:

function не хватает.

В смысле слова или самой функции?

Слова. Ты код хоть смотрел в том месте где тебе ошибку выдает? Или ты сразу сюда постишь ошибки?

Смотрел и пробовал исправлять...

Сделал проверку получаемых из формы данных:

Ты его тестировал? Как по мне, так это абсолютно бесплодная попытка выцепить javascript.

1. Вся строка должна соответствовать шаблону (^ в начали и $ в конце). Конечно, возможно, ты так и задумал, но в случае, когда ты этим выражением обрабатываешь текст больше одного, шаблон не подойдет.

2. Этот шаблон выловит только такие "теги":
<{>, <=>, <}> - это весь список. Плюс этот тег должен занимать всю строку, которую парсишь.

Лично я не видел таких странных вставок javascript. При этом у тебя не закрыта "нормальная" вставка: при помощи <script>.

А если так: if (!eregi("(<>{}=)",...

Да ёпрст. Ну как можно защититься от спида, не зная что это и как передается? Ты собираешься на бл к девушкам легкого поведения, надев респиратор, а нужно совсем другое резиновое изделие.
Вот что будет, если я захочу к примеру написать такой текст в твой блог или куда там:

Хорошо, я почитаю внимательнее про регулярные выражения.

Но зачем записывать гадость в базу если можно это предотвратить.

Вот самая распространенная ошибка. В базу пишется не всякая гадость, а текст. И если это сайт нормальный, профессиональный, а не ламерский, то человек на экране должен увидеть то, что написал. Как тут к примеру:
<script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script> <script>
А если он сделан такими параноиками, которые перед записью в базу начинают что то фильтровать и запрещать, то он и становится дырявым как решето и бестолковым по сути. Зачем затыкать каждую дырочку по отдельности, как тришкин кафтан, если это можно сделать одним махом.
Ну да сам поймешь, когда вырастешь. Как программист я имею ввиду.

Данные переданые через форму записываются в бд но для общего просмотра доступны только после утверждения их администратором. А в админке полученое сообщение вставляется в tiny_mce через nl2br. Получается сломали через другую форму? Еще есть форма поиска... но ведь данные с неё никуда не записываются...