Hackeo de la web

[iEnrique]

:O Muchas gracias por ayudarme, bueno lo primero es que una vez se el problema me ayudéis a solucionarlo... Bueno como me habéis pedido os dejo el código que corresponde al sitio donde alojo los mensajes en la base de datos. Tanto el código HTML para contener los datos como el PHP que los envía:

Este primero es el formulario que contiene los datos que quiere enviar el usuario, está en PHP por lo que está en un "echo" pero se comprende bien:

Código PHP:

echo "<div class=\"posted\" style=\"width: 375px; margin-bottom:20px;\">
            <form action=\"post.php\" enctype=\"multipart/form-data\" method=\"post\">
                <textarea style=\"width:343px;height:100px;resize: vertical;\" name=\"post\" placeholder=\"Publicar post...\"></textarea><br/>
                <input type=\"file\" name=\"imagen\" style=\"width:343px;\"/>
                <img src=\"barra.png\" style=\"margin-left:-15px;\"></img>
                <input type=\"submit\" class=\"green_post\" style=\"width:343px;\"/>
            </form>
            </div>";
 

Este es el que lo envía también PHP:

Código PHP:

/* Aunque parezca dificil no es nada dificil de comprender */
    include('conexion.php');
    session_start();
    if($_SESSION['usuario'] == NULL){ //Veo si existe el usuario
        $desde = $_SERVER['HTTP_REFERER'];
        header ("Location: ".$desde);
    }else{}
    $usuario = $_SESSION['usuario']; //Cojo el usuario
    $post = strip_tags($_REQUEST['post'], "<br><b><i><u>"); //Cojo el mensaje
    if(!isset($post)){ //Veo si existe el mensaje
        $desde = $_SERVER['HTTP_REFERER'];
        header ("Location: ".$desde);
    }else{}
    include('conexion.php'); //Cojo conexión
    $variableConexion = mysql_connect($mysql_host, $mysql_user, $mysql_password);
    mysql_select_db($mysql_database, $variableConexion); //Me conecto
    $sql = "SELECT nombre FROM registros WHERE user='$_SESSION[usuario]'" or die("No se encuentra"); //Cojo todos los datos del usuario
    $consulta = mysql_query($sql,$variableConexion) or die (mysql_error());
    while($rs=mysql_fetch_array($consulta)){
        $nombre = $rs['nombre']; //Cojo el nomre del usuario
    }
    
    $con=mysql_connect($mysql_host, $mysql_user, $mysql_password);
    mysql_select_db($mysql_database, $con); //Me conecto
    
    if($_FILES['imagen']['tmp_name'] == NULL){ //Veo si ha subido una imagen, sino, solo envía el mensaje.
        mysql_query("INSERT INTO posts(usuario, post, nombre) VALUES('".$usuario."','".$post."','".$nombre."')");
        header('Location: index.php');
    }else{ //Si hay...
    include('conexion.php');
    $ruta = "imagen";
    $archivotemporal = $_FILES['imagen']['tmp_name'];
    $archivo = $_FILES['imagen']['name'];
    echo $_FILES['imagen']['type'];
        if($_FILES['imagen']['type'] == "image/png" || $_FILES['imagen']['type'] == "image/jpg" || $_FILES['imagen']['type'] == "image/gif" || $_FILES['imagen']['type'] == "image/bmp" || $_FILES['imagen']['type'] == "image/jpeg"){ //Compruebo que es una imagen.
    move_uploaded_file($archivotemporal, $ruta."/".$archivo);
    $ruta = $ruta."/".$archivo;
    echo $ruta;
    
    $con=mysql_connect($mysql_host, $mysql_user, $mysql_password);
    mysql_select_db($mysql_database, $con);
    mysql_query("INSERT INTO posts(usuario, post, nombre, imagen) VALUES('".$usuario."','".$post."','".$nombre."','".$ruta."')");
    header('Location: index.php'); //Y lo subo todo
        }else{ //Este else es por si el archivo que ha subido no es una imagen...
            mysql_query("INSERT INTO posts(usuario, post, nombre) VALUES('".$usuario."','".$post."','".$nombre."')");
            header('Location: index.php');
        }
    }
 

Si no se entiende algo me lo decís y os lo explico, muchas gracias por ayudarme. Espero que sepan resolverlo, pedidme todo lo que queráis.