はてなブックマーク

この記事は 闇の魔術に対する防衛術 Advent Calendar 2018 の4日目の記事です。 昨日は　@teradonburi さんの Headless CMSとWordPressの囚人 でした。 TL;DR forkしたリポジトリをcomposer.jsonにrepositories を追加する 愚痴 引き継いだ案件やよく分かってない開発者がvendor以下のライブラリを書き換えてgitに突っ込んできた事って有りませんか？ 私は年1,2回あります。composer update とか出来なくて困る。アップデート後コンフリクトすると大変 そんな死んだvendorを解放するための防衛術を教えます。 本題 ライブラリを改変したいときってどういう時でしょうか バグがある 機能が足りない エラるので取りあえず　try catch を埋める　（←やめて 思いつく限りでよく遭遇するのはこんな感じ

とあるお知り合いからGoogle検索からホームページにアクセスすると、真っ白で何も表示されないというご相談を頂来ました。 調査の結果、ハッキングされたようで謎のコードが埋まっていました、発見するまでの流れを紹介します。 環境 Wordpress バージョン WordPress 4.1.17 一般的なレンタルサーバ ftp接続（ssh/sftpはたぶん使っていない） wpのパスワードはランダムでした（fail2banも搭載済み） 詳細な事象 googleの検索結果からサイトにアクセスすると真っ白なページ 私の環境だと再現しないことがある 再現した場合は、レスポンスが空、ステータスは200 URL直打ちでアクセスすると表示される どうやら、検索結果から流入したときのみらしい 原因の特定 相談頂いた時間がちょうど深夜で、アクセス数も少なかったためそのまま対応させてもらえることになりました。 （※