单位网站被挂马

我们单位那个破网站用的是老掉牙的织梦CMS，一直没怎么管，今天想上去更新个通知，结果后台密码咋都登不进去，试了找回密码也不行。后来让信息中心的人查了一下，说是被挂马了，数据库里多了好多垃圾表，首页也被插了黑链。我虽然懂点代码但也没搞过安全这块，现在领导催着让我处理，真不知道从哪下手。想问问有没有懂行的，这种被入侵的网站一般怎么排查啊？是先看访问日志还是先查文件修改时间？有没有啥好用的扫描工具推荐一下，最好是免费的。另外有没有必要把整站源码重新换一遍？