我有一个LOGIN.PHP的文件，登录时被人明文记录到TXT文件中是怎么做到的？

最近我的网站老被挂马，听说是通过在登录文件LOGIN.PHP插入代码，我只要一登录就明文生成到TXT文本文件上面，请问这个是怎么做到的？已经恢复文件了，另外有什么防御的方法吗？

<?php
require_once(dirname(dirname(__FILE__)) . '/app.php');

if ( $_POST ) {
$login_admin = ZUser::GetLogin($_POST['username'], $_POST['password']);
if ( !$login_admin || $login_admin['manager'] != 'Y' ) {
Session::Set('error', '用户名密码不匹配！');
redirect( WEB_ROOT . '/manage/login.php');
} else {
Session::Set('admin_id', $login_admin['id']);
Session::Set('user_id', $login_admin['id']);
redirect( WEB_ROOT . '/manage/index.php');
}
}

include template('manage_login');

将你的关键代码部分贴出来看看 getlogin

前台做足验证。。对于不合法的数据禁止提交到服务器。 后台接收数据可以用htmlspecialchars转化一下。