https://www.meetup.com/ja-JP/Kansai-WordPress-Meetup/events/281036210/
![WordPress セキュリティガイド #wpmeetupkyoto / WP Security Guide](https://cdn-ak-scissors.b.st-hatena.com/image/square/63bc4176f0535c0118c207d159b65cfd6a580bed/height=288;version=1;width=512/https%3A%2F%2Ffiles.speakerdeck.com%2Fpresentations%2F193aecc578df4fbfbff27d9d2f5eb0f5%2Fslide_0.jpg%3F19432071)
(2021.1.26 追記) 本稿の続きを書きました。 時系列で見る:WordPressを運用中のサーバが丸ごとPHPマルウェアに感染する流れ https://qiita.com/Ayutanalects/items/e7919afadc7d8394820f 制作会社から「自社で管理中のサイトがおかしい」との連絡を受けて、 中をのぞいたら、PHP製の複数種類のマルウェアに感染していたので対応をメモ。 以下の内容は、あくまでも自分の対応時のものです。 攻撃者がスクリプトを変更すれば同じ方法では検出できなくなるのでご注意ください。 初期状態 症状 自社管理中のWordPressサイトにアクセスすると、全く知らないサイトにリダイレクトされる 今回は allc〇〇ling.shop というEC風サイト。Kasperskyを使っていると、「警察機関指定の危険サイト」の警告あり https://sup
You don't have permission to access "http://www.whitehouse.gov/wp-login.php" on this server. この辺は当然アクセス不可。 /wp-content/ しか見えなくてWPのインストール先も分からない。 検索 動的な部分はここだけ? /search/ なのでここだけ許可してるのかもしれない。 WPではないかもと思ったけどソース見る限りはWP。 Akamaiっぽいので検索以外は全面的にCDN経由での表示だろうなぁ。 当然ながらセキュリティ的には厳重。 CDNからだと静的なhtmlを表示してるだけと同じなのでWPっぽい攻撃はしようがない。 あんまり突っ込むのも危険なのでここでやめておく…。
「これだけ」はやっておこう──「WordPress実行環境とアプリ開発環境」のセキュリティ対策マニュアル:とにかく速いWordPress(19)(1/3 ページ) エンタープライズ用途での利用が増えている「WordPress」の高速化チューニングテクニックを解説する本連載。今回は、「WordPress実行環境としてのサーバのセキュリティ対策」と「開発者がWordPressアプリケーションを開発する際に実施すべき対策」のポイントを解説します。 連載バックナンバー 前回は、WordPress管理者に向けたセキュリティ対策の基礎編として、「WordPress自体の対策」のためのノウハウを解説しました。今回はさらに具体的な「実践編」として、WordPressを動作させる「実行環境としてのサーバのセキュリティ対策」と「開発者がWordPressアプリケーションを開発する際に留意すべきポイント」を解説
近年、セキュリティに関する被害が急速に広がっています。 とりわけ、ランサムウェア(身代金を要求するマルウェア)と呼ばれる、悪質なマルウェアにひっかかったという被害も多く聞かれます。 最近では、「Wanna Cry」(ワナクライ:「泣きたくなる」の意)というマルウェアが流行しており、感染するとネットワーク内で自己増殖するワーム機能が搭載されており、爆発的な被害拡大の要因となっています。 そのような状況の中、「自分には関係ない」と思って対策をしておかないと、いつの間にか自分が被害者になるかもしれません。 特に、Wordpressでホームページを運用している場合は、注意が必要です。 2017年1月、WordPressの深刻な脆弱性を突く攻撃が横行し、150万件以上が改ざんされたと米セキュリティ企業Feedjitが発表しています。 何も対策を行っていないと、自らが被害者になる可能性も十分にありえま
VAddyは、継続的なWeb脆弱性検査が簡単に実現できるSaaSです。 昨日、一昨日とWordPressを例にVAddyの基本的な使い方、脆弱性の検出例を説明しました。 簡単にWordPressのセキュリティがチェックできましたし、CIやCronに組み込んで定期的に実行するのもVAddyなら簡単です。 10分でWebアプリの脆弱性検査ができた!VAddyでWordPressをスキャンしてみる WordPressのXSS脆弱性をVAddyで検出してみる VAddyはログインが必要なWebアプリケーションにも対応しています。 今日はログインが必要なWordPressの管理画面に"あえて"、クロスサイトスクリプティング(XSS)の脆弱性を入れて検出できるか試してみたいと思います。 もし、VAddyがログイン処理をうまく扱えていなければXSSは検出できないはずです。ではやってみましょう。 Word
VAddyは、継続的なWeb脆弱性診断が簡単に実現できるSaaSです。 昨日はVAddyの基本的な使い方を説明しました。 10分でWebアプリの脆弱性検査ができた!VAddyでWordPressをスキャンしてみる たった3ステップで脆弱性診断が手軽にでき、特別な知識が不要だと感じてもらえたら嬉しいです。 VAddyではWebAPIの提供やJenkinsプラグイン、 CLIツールなどCI連携ツールの提供もしていますので、簡単に継続的なセキュリティのチェックが行えます。 今日は昨日の記事でスキャンしたWordPressにクロスサイトスクリプティング(XSS)の脆弱性を入れて、同じようにVAddyで検査してみたいと思います。 WordPressにXSSの脆弱性をあえて入れる VAddyに登録した検査対象のページは、WordPressの検索フォーム画面でした。この画面にXSSが発生するようにしたい
備忘録を兼ねて、企業サイト構築時に決めている設計方針・インストールしているプラグイン・セキュリティ対策をそれぞれまとめました。セキュリティ対策の項目を除き、構築時の細かい設定やプログラム実装についての説明は省略しています。 (※)2018.01.13: セキュリティ対策について加筆・修正を行いました 概要 実装する際の方針として、WordPressと紐付ける必要のないファイルは、できるだけWordPressのファイル・フォルダと分けて構築する手法を採択しています。これはサイト全体をWordPress依存にさせたくない、ということが大きな理由です。 また、関係ないファイルをWordPress内で管理させることによって、お客様やHTMLに詳しくない編集者が不用意にファイルを更新してしまうことを防ぐ意味もあります。8年以上WordPressと付き合ってきましたが、以下の設計方針が最も最適だと考え
最近お腹まわりのお肉が気になってきたキタムラです。こんにちは。秋って食べ物美味しくてやばいですね! さて、今回はWordpressのセキュリティについてのおハナシです。 実は、WordPressで運営されているウェブサイトやブログの多くは、そのユーザー名を誰でも簡単に調べることができちゃいます。 かといって、Twitter や Instagram なんかはユーザー名が公開されているので、それと同じ感覚なら問題ないっちゃ問題ないのかもしれません。 ぼくは、隠せるなら隠したいタイプなので対処しています。 気になった方はスクロールして読んで下さい。特に気にならない方はそのまま記事を閉じてくださいね。 試しにユーザー名が「わかるのか」かやってみよう自分のウェブサイトやブログのトップページを表示させて、アドレスバーのURLの末尾に /?author=1 をコピペして「Enter / Return」を
徳丸浩さんといえば、通称「徳丸本」こと『体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践』でご存知の方も多い通り、Webアプリケーションのセキュリティ専門家としてよく知られています。 今回はWordCamp Toyko 2016にご登壇いただく徳丸さんに、セッションの内容や最近のセキュリティ事情などについてうかがって来ました。当日の目玉セッションの一つである「CMS四天王への攻撃デモを通じて、WordPressの効果的な防御法を学ぼう」を楽しみにされている方は、ぜひご覧ください。参加登録がまだの方はこちら! 場所 HASHコンサルティング 聞き手 高橋文樹(WordCamp Tokyo 2016 実行委員長) ——本日はお時間いただき、ありがとうございました。まずは、ふだん徳丸さん自身が代表を務めるHASHコンサルティングでのお仕事についてお聞かせくださ
Webサイトのポルノスパム感染被害が5月末ごろから急増している。WordPressのモバイル対応プラグイン「WP Mobile Detector」の未解決の脆弱性が悪用されていたことが分かった。 Webサイトのモバイル対応に使われるWordPress向けプラグイン「WP Mobile Detector」の脆弱性を突く攻撃が横行していたことが分かり、この問題を修正する更新版が6月2日に公開された。 セキュリティ企業Sucuriの2日付ブログによると、Webサイトのポルノスパムの感染被害が5月末ごろから急増し、原因を調べたところ、被害に遭ったWebサイトはいずれもWP Mobile Detectorを使っていたことが判明した。同プラグインに任意のファイルをアップロードできてしまう脆弱性があることが分かった。 脆弱性は、信頼できないソースからの入力内容を検証できていなかったことに起因する。「al
WordPressの人気プラグイン「Jetpack」の脆弱性を修正する更新版が5月27日に公開された。脆弱性はコメントを通じて簡単に悪用できてしまうとされ、同プラグインを使っている場合はできるだけ早く対応する必要がある。 JetpackはWordPressサイトの管理を支援するための多機能プラグインで、100万を超すWebサイトで使われている。 脆弱性を発見したセキュリティ企業のSucuriによると、Jetpackの「ショートコード埋め込み」モジュールにクロスサイトスクリプティング(XSS)の脆弱性が存在する。このモジュールを有効にしている場合、攻撃者がショートコードを含んだコメントを残すことによってWebサイトに悪質なJavaScriptを仕込み、管理者アカウントを乗っ取ったりSEOスパムを仕込んだり、訪問者を不正なWebサイトに誘導したりすることが可能になる。 Jetpackのブログに
www.telemundo.com ワードプレスはブログやアフィリエイト、企業のホームページまでウェブサイト運営で使われる優れたシステムである。WordPressが人気なのはプラグインという形で簡単に便利な機能の実装が出来るからだろう。 ただ、プラグインは脆弱性が見つかったものほど侵入されやすくなる。長い期間更新がなされていないプラグインは脆弱性が放置されたままだったり、最新のバージョンに対応していない場合もある。出来るならプラグインに頼らない機能の実装が理想的である。プラグインの整理は定期的に行い、使っていないものは削除するようにした方が良いだろう。 この記事では ▶ WordPressのおすすめプラグイン から ▶ WordPressのプラグインでセキュリティを高めるために必要なこと まで詳しく紹介していきたいと思う。 WordPressのおすすめプラグイン WordPressのプラグ
いくら気をつけていても、不幸にして WordPress にバックドアを仕掛けられることは往々にしてあるものです。 重要なのは日々のアップデートと監視なのですが、間に合わずにやられちゃってバックドア仕掛けられることもあるでしょう。 先日リリースされた WordPress 4.5.2 でも結構重めの XSS 脆弱性の報告と修正が行われましたね。 WordPress 4.5.2 セキュリティリリース そんなわけで、ひさ~しぶりのブログはバックドア仕掛けられないようにする防衛策とソースが改変された時の対応策です。 バックドアを仕掛けられる前の防衛策 不要な php ファイルにアクセスさせない WordPress のバックドア仕掛けてくるやつの手順として多いのが、メディアアップロード機能の脆弱性とかを利用して wp-conten/uploads/ 以下に php ファイルを置いていき、そのファイルに
国内外で高い人気を誇るWordPressは、利用者が多い分悪質なユーザーに狙われるケースも多々あります。 セキュリティ対策をしないまま利用するのは非常に危険です。 主な手口としては、大量のスパムコメントが投稿や脆弱性を利用したページの改ざん、不正ログインなどが多く、不正利用から守るためにセキュリティの強化をおこなうことは運営者としての責任でもあります。 今回はWordPressで導入できるセキュリティ強化のプラグインをまとめてご紹介します。これからWordPressを始める方も既に運営しているという方もぜひ確認しましょう。 WordPressのセキュリティ対策に有効なプラグイン14選 1.All In One WP Security & Firewall https://wordpress.org/plugins/all-in-one-wp-security-and-firewall/ 高
WordPressで「このファイルタイプをアップロードする権限がありません。」と表示されるときの解決方法 2024.06.14
WordPressでブログやサイトを運営する前、そして運営している時にしっかり設定しておきたいWordPressのセキュリティやメンテナンスに役立つ.htaccessの設定を紹介します。 .htaccessファイルを守る 最初に行うことは、.htaccessをあなた以外の無許可のアクセスから守ることです。下記のスニペットは第三者があなたの.htaccessファイルにアクセスするのを阻止します。 ルートの「.htaccess」に下記を記述します。 <files ~ "^.*\.([Hh][Tt][Aa])"> order allow,deny deny from all satisfy all </files> wp-config.phpファイルを守る WordPressでもう一つ重要なファイルがあります、それはwp-config.phpです。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く