[Exiaptor]

Na dann lösch auf jeden Fall die alte Datenbank und leg eine neue an. Weiters Lösche ALLE Daten runter.
Gib das IndexS***** einem Profi , der das ansieht. Wenn es per JS engebunden wurde, dann gibt es auf deinem Server IRGENDEINE File, die da nicht hingehört und in der index.html wird diese ausgeführt.
Passiert meistens durch verschlüsselte JS Codes. Die kann man mit Tools im Intrnet entschlüsseln, dann kannst du nachsehen, wo die file liegt. Hast du noch die Originalversion der Uploaddateien ? Dann nimm die und nicht die alten !

//edit und PS:
Ich hab mir die Seite etwas genauer angesehn. Kann es sein dass es ein sehr sehr altes S***** ist ? Ich denke, dass der Fehler darin besteht, dass du Userinputs as outputs verwendest, das soviel heisst, du müsstest etwas wie " echo $_GET" im S***** haben. Damit lässt du zu, dass man über eine richtige url Eingabe in der Adressleiste zu deinen Daten kommt (Vulnerability). Das was du machen solltest ist, alle Usereingaben - egal wie sie dir gesendet werden- als bösartig zu betrachten, damit dein S***** alles ablehnt, das von Usern eingegeben wird. Versuch das S***** Metacharaktere vor UserInputs zu Schützen. (Schlag mal in dem Fall bei google "scrubinput function nach).

Aber nach wie vor die alte Leier ... Lass nen Kumpel da drüberlesen, der sich auskennt. :-)

Lg
Exi