修改服务器账号密码是无用的，因为你网站某个地方有漏洞。
问题得治本，你可以用一些网站漏洞扫描工具进行扫描看看哪个页面哪段php代码没有严格过滤传递的参数导致被人恶意注入，建议使用有防范的服务器，例如阿里云的。
传递参数杜绝使用 $a = $_GET['a'] 或 $a = $_POST['a']
根据传递的类型进行过滤，如：HtmlPurifier::process(\Yii::$app->request->post('a')); 或 HtmlPurifier::process(\Yii::$app->request->get('a')); 比较推荐使用官方的接收变量方式，这只是一个接收并过滤的处理，如果是数字的话，那么就可以使用 intval()
最后数据库跟服务器密码不应该使用简单的英文加数字组成，应该为 大小写数字符号 混搭。