WordPressの侵入対策は脆弱性管理とパスワード管理を中心に考えよう
この記事はWordPress Advent Calendar 2015の7日目の記事です。 今年初めてWordCamp Tokyoにて講演の機会をいただき、WordPressのセキュリティについて話しました（スライド）。そこでもお話ししましたが、WordPressに限らず、Webサイトへの侵入経路は2種類しかありません。それは以下の2つです。 ソフトウェアの脆弱性を悪用される 認証を突破される したがって、侵入対策としては以下が重要になります。 全てのソフトウェア（OS、Apache等、PHP、WordPress本体、プラグイン、テーマ等）を最新の状態に保つ パスワードを強固なものにする 以上! と叫びたい気分ですが、それではシンプル過ぎると思いますので、以下、WordCampでお話した内容とリンクしながら、もう少し細く説明したいと思います。 全てのソフトウェアを最新の状態に保つ Word
WordPressでしっかり設定しておきたいセキュリティやメンテナンスに役立つ.htaccessのまとめ
WordPressでブログやサイトを運営する前、そして運営している時にしっかり設定しておきたいWordPressのセキュリティやメンテナンスに役立つ.htaccessの設定を紹介します。 .htaccessファイルを守る 最初に行うことは、.htaccessをあなた以外の無許可のアクセスから守ることです。下記のスニペットは第三者があなたの.htaccessファイルにアクセスするのを阻止します。 ルートの「.htaccess」に下記を記述します。 <files ~ "^.*\.([Hh][Tt][Aa])"> order allow,deny deny from all satisfy all </files> wp-config.phpファイルを守る WordPressでもう一つ重要なファイルがあります、それはwp-config.phpです。
ノートンブログ - ヒント、教育、FAQへの回答
若い世代を中心に人気のティックトック（Tik Tok）について、そこに潜んでいる危険性と、その危険性に適切に対処する方法を解説します。
サーバーが高負荷の原因はWordPressのxmlrpc.phpを狙った攻撃だった | SHINGO IRIE
ブログにアクセスしたらなかなか読み込まない。なんか重たくなってる！異変にきづいてサーバーにターミナルでアクセスを試みるもつながらず。サーバーのコンパネから強制的に再起動をして復旧した。その原因を調べたらWordPressのxmlrpc.phpにあった。 xmlrpc.phpに大量のアクセス apacheのログを調べたら、このように断続的に大量のアクセスがあった。apacheのエラーログをみると「server reached MaxClients setting, consider raising the MaxClients setting」と設定数以上のアクセスで、高負荷状態になり接続できなくなっていた模様。 xmlrpc.phpはそもそも、これを使うことで標準の管理画面以外からもAPIを使って、記事の投稿ができるようになるもの。どうやらここへのブルートフォースアタックでのっとりをしよう
「Hacked by Islamic State」と改ざんされた国内のウェブサイトについてまとめてみた。 - piyolog
2015年3月5日頃から国内外の複数のウェブサイトを対象に、「Hacked by Islamic State」等と改ざんされるインシデントが相次ぎました。ここでは関連情報をまとめます。 注意喚起 2015年3月11日 (PDF) 「Islamic State (ISIS)」と称する者によるウェブサイト改ざんについて - 警察庁 2015年3月12日 (PDF) 「Islamic State（ISIS）」と称する者によるウェブサイト改ざんに係る注意喚起について - 警察庁 国内で被害を受けたウェブサイト一覧 改ざんパターン(1)のサイト 改ざん時期 地域 被害組織 公式発表 fancybox for WPの 利用有無 2015年3月8日 東京 府中アスレティックFC 3月8日 府中アスレティックFC 公式HP復旧のお知らせ 利用あり 〃 兵庫 西宮観光協会 3月11日 「西宮まちたび博」ホー
ブログをパクられた！手口と著作権侵害申告など、気付いたらやるべき対処方法についてまとめました - アナザーディメンション
パクリサイトの手口（プログラムの仕様） まず、犯人は盗用したいサイトを見つけたら、パクリサイト側のプログラムに対象サイトのドメインを登録するようだ。そして、自身のサイト（パクリサイト）と対象サイト（今回では当サイト）の関連付けを行う。 こんな感じだ。 【当サイト】 https://estpolis.com/ 【パクリサイト】 http://www.advieshoreca.nl/6s/csctccase.asp 【当サイト記事ページ】 https://estpolis.com/2015/02/17103.html 【パクリサイト記事ページ】 http://www.advieshoreca.nl/6s/csctccase.asp?2015/02/17103.html そうすると、以下のように動作する。 パクリサイトを閲覧した人がアクセスすると（Googleのクローラーも含む）、対象サイトのド
ブログの完全HTTPS化を完了、HTTPからHTTPSへの移行プロセスを共有
[対象: 上級] 気付いている人もいるかと思いますが、このブログ全体をHTTPSにしました。 この記事では、備忘録を兼ねて、完全HTTPSへの移行を検討しているサイトの参考になるように僕が実行してきたプロセスをまとめます。 実行した主な作業は次のとおりです。 サーバー証明書の取得 HTTPSへのリダイレクト 内部リンクの修正 各種ツール・パーツのHTTPS動作確認 すべてのコンテンツがHTTPSでダウンロードされているかを確認 WordPressの設定変更 rel=”canonical”の更新 ウェブマスターツールへの登録 サイトマップの更新 ソーシャルシェアの引き継ぎ HSTSの設定 外部リンクの更新 高速化 順に説明します。 1. サーバー証明書の取得 サーバー証明書をまず取得します。 手順は利用しているサーバー会社によって変わってきます。 詳しくはお使いのサーバー会社のヘルプを参照し
WordPressのブログ投稿がコピペや盗まれない為の予備知識と対策。
時間と労力をかけて書いたブログ投稿を勝手にコピペして、盗んで、あたかも「自分の投稿です」とする強盗WEBサイトから、自分のブログ投稿を守るためにあれやこれやと対策をとっておきましょう。 WEBマスターの手帳も軽い盗作（パクリ）は何回か遭ってますが、幸い完全なパクリはないので助かっています。でもいつ自分が被害に遭うか分からないので事前に対策はしておこうと思います。 Googleに「盗んだ側」がオリジナルだと判断されたらたまったものではないですし、自分の投稿より上位表示なんてされたら最悪です。 盗作対策プラグイン wordpressには「プラグイン」という武器があるので本当に便利です。 コピーされたら教えてくれる「CCC(Check Copy Contents)」 日本人の方が作られたプラグインで、自分の投稿がコピーされたら「コピー箇所」と「コピーページのURL」をメールで知らせてくれる、とっ
ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]
WordPressのセキュリティ設定に関するブログ記事は山ほど見かけますが、今回はよく発生する改ざんについて「効果が高い」「比較的カンタンに出来る」「費用がかからない」という視点でピンポイントに対策したいと思います。 不正アクセスの目的と手口 そもそも何が目的で不正アクセスをしようとしてくるのか？ 自分も含めいろいろな改ざん報告を見ると、 改ざん者が関連しているウェブサイトへ誘導するスクリプトをこっそり書いていく 投稿の本文の文中にサイトへの誘導リンクを書き込む メールを自動送信するプログラムが書いてあるファイルをテーマディレクトリ内に置かれる というケースが多いようです。 効率良く改ざんするための手順 それでは、上記の事を達成するのに効率が良いのはどんな方法か？ 現実的に考えて、人間が手動で一つ一つのサイトにハッキングを試みるのはどう考えても効率が悪いです。そんな事をするくらいなら時給で
![ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]](https://cdn-ak-scissors.b.st-hatena.com/image/square/f766f5261227a22c288258afdfb88c6481b833da/height=288;version=1;width=512/https%3A%2F%2Fbizvektor.com%2Fwp-content%2Fuploads%2Fsec1-1024x538.jpg)
WordPressに仕込まれたマルウェアのコードが恐ろしすぎた
『Googleから「マルウェアに感染している」という警告が届いたので、調査して欲しい』という依頼を受けて、とあるサイトの調査をしたところ、どうやらWordPressにマルウェアが仕込まれている模様。 かなり時間を掛けて広範囲にヤラれていたので、マルウェアをすべて取り除くのに苦労したのですが、その際に見付けたマルウェアが中々恐しいものだったので、ここに書き残しておきたいと思います。 なお、真似してマルウェアを作られても困るので、ソースの一部を画像で載せることにします。 ## マルウェアのソースを人間に読めるようにしてみる では、早速マルウェアの中身を見てみましょう。 まず、いきなり始まるコメント行。そして、長くて一見ランダムに見える文字列。 そして2行目でランダムに見える文字列を base64_decode() し、eval() しています。base64_encode()しているのは、ソース
今度はWordPressが踏み台に、Pingback機能を悪用しDDoS攻撃
オープンソースのCMS「WordPress」のPingback機能が、大規模な“反射型”DDoS攻撃に悪用されているとし、注意が呼び掛けられている。セキュリティ企業のSucuriが2014年3月10日に公開したブログによると、WordPressを使っている16万2000もの正規のサイトがDDoS攻撃の踏み台に悪用されているということだ。 自身もWordPressを使っているセキュリティ情報サイト、KrebsOnSecurityも、4万1000件を超えるWordPressサイトからのDDoS攻撃を受けたという。同社は攻撃に悪用されたWordPressサイトの一覧を公開しており、その中には多数の「jp」ドメインが含まれている。 この問題は、自分の投稿に対してリンクが張られたことを知らせるPingback機能を悪用したものだ。WordPressのPingback機能はXML-RPC APIを用い
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
No37: - にほんブログ村からのお知らせ