WordPress セキュリティ白書
セキュリティ 私たちは、WordPress プロジェクトとエコシステムのセキュリティをとても重視しています。20年以上の歴史と Web の 43% を超えるシェアを誇る私たちは、個人ブロガーから企業組織まで、すべてのユーザーのセキュリティ確保に取り組んでいます。 WordPress は、WordPress コア、WordPress.org で利用できるプラグインやテーマ、またより幅広い WordPress エコシステムにおける脆弱性について責任ある開示を奨励しています。 WordPress に脆弱性を発見したと思われる場合は、その情報を秘密にして、WordPress セキュリティ チームに報告してください。 WordPress.org で利用可能な WordPress プラグインまたはテーマに脆弱性を発見したと思われる場合は、秘密にしておいてください。 プラグインの脆弱性については、プラグ
攻撃者からみたWordPressセキュリティ / WordCamp Kansai 2015
WordCamp Kansai 2015 2015/07/26
WordPressで攻撃を受けやすいファイルとそのセキュリティー対策まとめ
アクセスログの取得まずは、サーバーからアクセスログを取得します。 僕は、今エックスサーバーしか利用していないので、その方法を書きます。 エックスサーバーの場合はサーバーパネルからログインしてパネルを開きます。 そして、「統計」項目の「ログファイル」をクリックします。 あとはドメインを選択して、 ダウンロードするだけです。 エックスサーバーデフォルトの場合は「nelog.jp.access_log」というファイルがダウンロードされます。 このアクセスログには、すべてのファイルへのアクセスに対する「1週間のログ」が書き込まれています。 すべてのファイルへのログなので、当サイトの場合だと2GB以上あり、600万行以上のテキストになっていました。 アクセスログの解析方法 これら膨大なアクセスログから、一つ一つ怪しいファイルを見ていくのは不可能なので、簡単な解析用コードをRubyで書きました。 Wo
プラグイン作者必読！実例に学ぶ脆弱なWordPressプラグインの作り方、又はwp-adminを守る理由 | ゆっくりと…
セキュリティ・コンサルティング Sucuri の 2014年11月の記事 によると、WordPress プラグインの3大脆弱性は、SQL インジェクション（SQLi）、クロス・サイト・スクリプティング（XSS）、ファイル・インクルージョン（FI）とのことです。 冒頭のグラフ は最新の分析結果で、この事実を裏付けています。プラグイン開発の チュートリアル や 手引き には、脆弱性を作り込まないためのポイントが上手にまとめられているのに、なぜ無くならないのでしょうか？ 「ヒトが作るものだから、バグがあって当然」と言ってしまえばそれまでですが、 Sucuri のブログ を読み漁っていると、こと脆弱性に関する限り、 WordPress に特有の「思い込み」や「見過ごし」といった、ヒトの心理的・認知的な盲点が原因の多くを占めているんじゃないかと思えてきます。 だから単に PHP のセキュリティ Ho
WordPress で Web サイトの制作を請け負って保守契約も結ぶときに意識しておいたほうが良い5つのこと
反応をウォッチしていると「WordPress を導入する場合、セキュリティを考えると当然システム保守契約を結んで保守することが必要」という意見がちらほらあって、僕としてもそれは当然のことでむしろやっていない人は作成した後えらいことになってないのか少し心配になったりしてしまうのですが、じゃあクライアントと保守契約を結べたとしてどういうことに気をつけたほうが良いかということを少し書いてみたいと思います。 コア・プラグインのアップデートは必ず実施する 大前提すぎてあれなのですが、セキュリティを維持して攻撃を防ぐためにお客様にシステム保守契約を結んでいただくわけなので、コアやプラグインのバージョンアップは必ず行わないといけません。企業さんのサイト制作の場合だとテーマはオリジナルのことが多いと思いますが、テーマも自作でないのであればきちんとアップデートするべきです。 「コアの自動アップデートをとめる
ピンバック機能（XML-RPC）悪用対策
WordPress のピンバックによる DDoS 攻撃が話題になっていますね。 こちらの記事によると、なんと 162,000！？もの正規のサイト（スパムサイトではない）が DDoS 攻撃の踏み台に悪用されたという驚きの内容です。 →「今度は WordPress が踏み台に、 Pingback 機能を悪用し DDoS 攻撃」 WordPress のピンバック機能は自分のサイトの記事 URL が貼られると自動的に通知するという機能ですが、これは XML-RPC API により実装されており、 3.5 以上からはデフォルト有効になっています。 XML-RPC とは XML-RPC とはリクエストを XML でポストしてレスポンスを XML で取得するための規格です。 WordPress の場合は XML-RPC API を使用すると管理画面以外から、記事投稿や編集などのいわゆるリモート投稿が行え
wp-login.php へのアタックが多くなってきているので……
ユーザー名をadmin以外にしてもセキュリティ上の意味は無いとどこか（どこかは失念）で読んだのですがそうなんでしょうか？ WordPressのログインに対するブルートフォースアタックには有効だと思うのですが。。 WordPressのセキュリティ関連のドキュメントを訳していてちょっと疑問に思ったので教えてくださーい！ ユーザー名候補リスト（辞書）をベースにパスワードのみをリトライして攻撃してくる場合においても、パスワードをWordPress判断で”強”になる登録をしていると、パスワード通過までに数年？かかるはずです。 ユーザー名を辞書以外にすると更に時間がかかり天文学的日数を要しますが、パスワードに対する危機感をお持ちであれば、adminでも問題ないという認識になります。 これ以上の心配をする場合、FTPやSSHで固定IP許可や秘密鍵の管理を行なっているか、rootでログインできなくしている
WordPressの運用上のセキュリティについて考えよう | Gatespace's Blog
以前、このブログで「WordPressの管理画面に制限をかける（ver3.5.1）」という記事を書いたのですが、もうちょっと視野を広げて WordPress を設置・運用するに当たってセキュリティはどうしたら良いのか、ということを書きます。 大前提として、 使用者のPCがウィルス対策ソフトなどを入れている。 Webサーバーの作りがしっかりしている。（ディレクトリの中身が見えるとか共用サーバーで他人のディレクトリにアクセス出来るとかSQLサーバーの作りがお粗末とかは問題外） パーミッションちゃんとしましょうね（パーミッションはWebサーバーとそのユーザーによって推奨の設定が変わるのでこの記事では追求しません） はあげておきます。 2017.2.7 update プラグインの事追記 1. Webサーバーとサイトの構成を見直す 最初から WordPress と関係無くなってしまいますが、そもそも
WordPressサイトの管理者向けセキュリティ対策方法チェックリスト | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
皆様はじめまして、モリイです。本業ではWordPress専用のセキュリティ診断サービスを運営しています。 さて、ご存知の方も多いとは思いますが、WordPressは攻撃者によく狙われます。 その理由の1つは高い導入率です。LIGブログでも以前こちらの記事「みんなは知ってる？WordPressの特徴と人気の理由を分析してみた」で紹介されていたように、世界で一番人気のCMSです。WordPressで作成されたサイトは世界中に9000万以上あると言われており、悪意を持っている人物にとっては格好のターゲットです。 また、WordPressだけではなく、CMS一般、例えば、Drupal、EC-CUBEなどにも言ることですが、構造がパターン化されており、そのCMSを利用しているということが一目でわかる、ということも攻撃される理由に挙げられます。 そこで、サイト管理者は攻撃者からサイトを守らなければいけ
DoSの踏み台にされているJPドメインのWordPressをまとめてみた - piyolog
Krebsが自分のサイト(KrebsOnSecurity)に対して41,000超のWebサイトからDoSを受けていると報告しています。 このDoSはWoredpressのpingbackを悪用したものらしく、先日、Sucuriもpingback機能を悪用したDoSについて報告していました。 More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack WordPressの16万サイトが大規模攻撃の踏み台に、「Pingback」機能悪用 - ITmedia エンタープライズ pingbackを悪用したDoS方法 pingbackはハイパーリンクを設置したことを通知する仕組みですが、リモート投稿(XMLRPC)の機能（WordPressのxmlrpc.php）に対して次のPOSTを送信するとそのW
WordPress の管理画面を IP アドレスで制限する - dogmap.jp
WordPress の管理画面を IP アドレスで制限することは Brute Force Attack に対して有効です。 たとえば Nginx を使っている場合、以下のような設定で許可された IP アドレス以外からのログインを拒否することができます。 server { location /wp-admin { allow 192.168.0.1; deny all; : } location = /wp-admin/admin-ajax.php { allow all; : } location = /wp-login.php { allow 192.168.0.1; deny all; : } } また、IP アドレスによるログイン制限を行うプラグインもいくつかあるようです。 ただし、これらの方法だとリバースプロキシ配下のサーバの場合、期待した動作になりません。 # リバースプロキシサ
セキュリティ対策まとめ（2013年秋）
JOJOのアニメ第三部が正式に決まったそうですね！ 楽しみ～な、にわかファン Latin です。 最近のWordPress界隈ではAmazon Web Serviceが俄然盛り上がっておりますが、大好きなWordPressを守るため、セキュリティ対策をまとめてみました。 初期セットアップ・設定系の対策 データベースのプレフィクス（接頭辞）を変更する wp-config.php 内の「wp_」の接頭辞を任意のものへ変更します。 その場合、追加で以下の作業が発生します。 phpMyAdmin などを使い、データベースのテーブルネームを変更したカスタムプレフィクスに変更する。 options や usermeta テーブルなどの他のフィールドでも「wp_」プレフィクスが使われている可能性がある為、以下のクエリーを走らせてプレフィックスを変更する。 SELECT * FROM `myprefix_
ロリポップの一連の改ざんトラブルで大変なことになった僕の記録 - すしぱくの楽しければいいのです。
公開日：2013年9月 5日 カテゴリ：Web制作に役立つネタ ぱくたそサーバー（Pleskなど）のヘルプデスクをお願いしているエンジニアの方と『サーバーを借りる際、「サポートだけにはしっかり費用が払える」を目安にしたいですよねー。』などと、安さ爆発のロリポップをつまみに盛り上がっていたら、『いやぁ、あのトラブルは本当に大変でした・・・』っという苦労話が実によくあるケースだったので、警鐘を兼ねて寄稿していただきました。('A')ﾉ ロリポップ大規模ＤＢ改ざんについて 寄稿のお話の前に、今回発生したロリポップ大規模ＤＢ改ざんを簡単にまとめると。 【緊急警報!!】ロリポップとGMOのinterQのWordPressが軒並み乗っ取られてます | More Access! More Fun! サイトが改竄されている → ＷＰサイトが乗っ取られてる？脆弱性か？ → ロリポップ公式から「ハッキングされ
ノンプログラマーのための WordPressセキュリティ入門
ノンプログラマーのための WordPress セキュリティ入門 2013/08/31 WordFes 2013 in Nagoya 宮内 隆行 @miya0001 http://bit.ly/wordfes 自己紹介 和歌山県の串本町というところから来ました！ 実は愛知県の大府市出身です！ プラグインを作って公式ディレクトリで公開しています。 http://profiles.wordpress.org/miyauchi このスライドは以下のプラグインで作りました。 http://firegoby.jp/wp/presenpress 今日のおはなし WordPressを安全に運用するための ノウハウについてお話します！ プログラミングの話はしないです！ 主にレンタルサーバーを想定したお話です。 初心者のみなさんを対象にしたお話です。 パーミッションのお話 なにはともあれ安全
ロリポップのハッキング被害ドキュメント①：復旧のため実施した作業内容
2013年8月28日の午前、当ブログ「りくまろぐ」はハッキング被害に遭い、一時的にブログが表示されない状態となっておりました。 調査していくうちに背筋の凍る思いがしました。まさか自分のサイト（ブログ）がハッキング被害に遭うなんて夢にも思っていませんでした。 ブログが破壊されたことに気付いて、ものすごく落ち込みました。セキュリティ対策などもほとんど無知で、WordPressについても勉強を始めたばかりの初心者でしたから、何をどうすれば良いのか全く分からず、放心状態になりました。 今回の記事では、ハッキング被害が判明した経緯と、復旧させるまでの対応内容をまとめました。 繰り返しになりますが、セキュリティー対策に関しては知識がほとんどないため、今回の暫定的な対応についても「それは不要ではないか？」というものがあるかもしれません。 とにかく「やれることは全てやろう」という方針のもと、パニックになり
GMOグループのクラックわっしょい祭、永江一石氏「クラックされてるよ」→熊谷社長「されてないWPが悪い」→石森大貴氏「侵入経路分かったWP関係ない」 : 市況かぶ全力２階建
服屋のマックハウス、ANAPみたいにビットコイン買うだけ事業に手を出して新しい何かに生まれ変わるふりを始める
ロリポップ！で起きている大規模な改ざんからWordPressサイトを守る方法
既に判明しているだけでも被害は4,802件！ 巷では責任の所在を巡って賑わっていますが、ロリポップ！でWordPressサイトを運営している身としては、そんな場合ではありません。 しかし対策を取ろうにも情報が錯綜していたので、セキュリティ対策ついてまとめました。 重要度の高いものから順番に解説していきます。 ユーザー名とパスワードを変更する まずこれをしないと始まりません。最重要項目です。 以下の点に注意して新しいIDとパスワードを作成してください。 1.パスワードの長さは12文字以上 2.辞書に載っているような単語を避ける 3.大文字小文字や記号・数字を組み合わせる 4.一意（ユニーク）なパスワードを付ける 5.adminやuserなどの推測されやすいIDを避ける（できればサイト名やユーザー名も避けたほうが無難です。） 1から3までは常識ですが、4と5はどうでしょうか？ そのパスワードは
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
WordCamp2015 LT WordPress+VPSでつくられたWebサイトのセキュリティチェックポイントとWordPressの「Waltiプラグイン」について @fujisaki_hb
howa-tarou.info
http://csspro.digitalskill.jp/%E3%83%81%E3%83%A5%E3%83%BC%E3%83%88%E3%83%AA%E3%82%A2%E3%83%AB/%E3%83%AF%E3%83%BC%E3%83%89%E3%83%97%E3%83%AC%E3%82%B9/wordpress%E3%81%AE%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E5%BC%B7%E5%8C%96/