Если сурово то через chattr снимите атрибут на запись.

А вообще нужно искать дыру в сайтах или сервере
Смотреть настройки Apache - Nginx

А если это хостинг - то бегите от такого хостера)

А в чем проблема для папок доступных из web, поставить запрет на выполнение php файлов?

Как уже сказали выше, надо найти дырку через которую заливают шеллы. На 99% это дырка в скриптах сайта. Правами тут ничего не решить, так как, если на хостинге модуль php, то он по умолчанию позволяет писать файлы не только самому юзеру, но и веб серверу, а если это php запускающийся от юзера, то как только удастся зайти на аккаунт из под юзера - все права будут ему отданы без ограничений и даже chattr не поможет (если он, конечно, не рутом наложен).

ТС, если хочешь скинь в ЛС сайт этот. За 500 руб проведу аудит безопасности сайта. Ну или бесплатно, на своё усмотрение уже.

Лечить надо источник боли, а не последствия.

Спасибо всем откликнувшимся.

Все скрипты и плагины на сайтах имеют последние версии, большинство сайтов на html. Похоже ломают один, и через эту дыру потом уже остальные. Взломали только на одном хостинге. Пока настроил права на папки, и вычистил сторонние файлы, наблюдаю за ситуацией.

Virus_07, спасибо за предложение. Аудит пока не нужен. На хостинге размещены сайты-сателлиты, поэтому взлом не нанес особого ущерба. Настроил права, посмотрим, поможет или нет. Если не поможет, то просто изолирую сайты друг от друга, либо переведу их на файлы. Может увели пароли от FTP, но тогда у меня проблема куда серьезней, чем взломанные сайты.

rustelekom, спасибо за подробные объяснения.

balsanis, А хостинг менять не пробовали? Может у них какие то "дыры"?

mark3000, дыры в сайтах.
Айболит в помощь.

Очень похоже на хостнг, ломают только на одном хостинге. Проблему решил установкой прав 555 на все папки, больше взломов нет.

А скрипты все хорошо работают на своих сайтах, если права все 555? Или у вас голый html ?
Так бы все ставили права такие права на папки, если бы можно было...

Замечание модератора: Эта тема была закрыта автоматически ввиду отсутствия активности в ней на протяжении 100+ дней. Если Вы считаете ее актуальной и хотите оставить сообщение, то воспользуйтесь кнопкой или обратитесь к любому из модераторов.