Sempre da inesperto, te la butto lì: impedire almeno temporaneamente l'accesso ai motori di ricerca sconosciuti, nel frattempo sviluppare un sistema di cache per evitare eccessive chiamate al DB (sempre che non sia già sviluppato).

Impedire come? Il file robots.txt in questo caso non mi sembra utile, i range di ip magari si ma non so come fare.

Le chiamate al DB le ho già ridotte drasticamente ma è appunto una soluzione temporanea.

Purtroppo non so risponderti, mi dispiace.

Sono alla disperazione, trovo file modificati sul mio FTP, cosa posso fare? Temo che i miei dati siano stati corrotti e che l'eccesso di query sia interno.

Da profano farei così:

1. Cancellazione di tutti i file in remoto.
2. Cambiamento di tutte le password (FTP, DB, username/password dell'applicazione se presenti).
3. Reinstallazione della App (e verifica dei contenuti sul DB, sopratutto in caso di dati inseriti dagli utenti).

Io non credo che saprei dire di più, ma magari ad altri lettori più esperti potrebbe essere utile conoscere l'URL oppure capire a grandi linee di cosa si parla (blog, portale, web-app, ...).

Non posso cancellare tutto, ci metto 2 settimane a rimettere su i file, le password le ho già cambiate ma entrano lo stesso e riescono a mettere file nell'ftp.

Si tratta di attacchi generici che mirano a ottenere link/redirect e che spesso non funzionano (trovo global.asax modificato, default.aspx, ecc.). Sui file del database (una bella mole) ho poco controllo parliamo di un sito simile a questo come struttura (20.000 utenti su snitz forum, 5000 articoli, vari tool in VB .NET, ecc.).

Il link non ho il permesso di notificarlo purtroppo.

Hai un piano hosting normale, una vps o un server dedicato?Utilizza Plesk?

Hosting normale. L'allarme è rientrato ma ora vorrei proteggermi, ecco cosa ho fatto:

Controllare ed eliminare utenti mySQL sconosciuti - 1 UTENTE ELIMINATO
Escapizzare tutti i request nelle query mySQL - FATTO (1500+ VULNERABILITA')
Controllare ultimi iscritti (nick, mail e password) - NIENTE DI IRREGOLARE
Controllare file uploadati irregolari - NESSUNO TRAMITE NOSTRI SISTEMI DI UPLOAD
Eliminare file inutili online e offline - UNA DECINA NELLA ROOT
Cambiare le password creando nuovi utenti mySQL - FATTO

Per bloccare le SQL injection basta escapare, per il cross site scripting?

Bisogna, secondo me, rivedere completamente il programma (script) e tappare le falle e gli errori di programmazione.

Ok ma come si blocca il cross site scripting?