公司网站被挂了木马，源码被改了，有没有靠谱的排查思路

我们公司那个网站一直放着没怎么管，昨天客户打电话说打开页面跳转到什么博彩网站去了，我赶紧上去一看，index.php被改得乱七八糟的，还多了几个不认识的文件。以前没遇到过这种事，有点慌。 现在就想问问各位，这种情况一般是怎么进来的？我用的是宝塔面板搭的，WordPress程序，插件装了不少。想先自己排查一下，有没有什么工具或者思路推荐？比如用Wordfence扫描靠谱不？还是说直接看日志找漏洞？我现在连从哪下手都不知道，求指点一下。