网站后台登录页

单位那个小破站用的开源CMS，昨天后台登录页突然跳转到赌博网站，查了文件修改时间发现index.php被动过。我把程序重新覆盖了一遍，结果今早又出现同样的现象，怀疑是服务器上有后门没清干净。用的宝塔面板，装了防火墙，但觉得没啥用。有没有懂行的老哥给指条路，这种一般是哪些位置容易被挂马？我打算先查一下定时任务和可疑进程，还有什么地方要重点看的？