駆け出しデザイナー・エンジニアにこそ見ていただきたいWordPressの脆弱性とセキュリティ - Qiita
WordPressは世界で1番使用されているCMSかつオープンソースであるが故に、悪意のある第三者やプログラムから世界で1番攻撃されやすいCMSと言われています。 私自身も何度か攻撃を受けていて、実害に及ばなかったものから及んだものまで様々でした。クライアントの稼働しているWEBサイトに実害があった場合は、原因究明や報告、一次対応から恒久的対策までを行い、安全性を確保した上で再度稼働させる必要があり、その作業は簡単なものではありません。 被害があるのはクライアントだけではなく、そのサイトにアクセスしたユーザーに及びます。たとえ納品後の保守契約を結んでいなかったとしても、実装者の責任としてクライアント、ユーザーに安心して利用できるWEBサイトを目指さなければいけません。 私はセキュリティの専門家ではないもののWordPressを10年以上触っている中で様々な問題に当たり、対応してきました。そ
「WordPress」利用時のリスクとその対策
本記事はキヤノンマーケティングジャパンが提供する「マルウェア情報局」に掲載された「今一度、おさらいしておきたいWordPressのセキュリティ」を再編集したものです。 2020年11月に発表されたウェブサイト向けCMSの世界シェアでは、WordPressが圧倒的な1位となっている。2003年にリリースされたこのオープンソースのソフトウェアは、ウェブ制作におけるデファクトスタンダードになったといえるだろう。しかしその分、悪意のある第三者に狙われやすくなっている。この記事では、WordPress利用時のリスクとその対策について詳しく解説する。 WordPressとは WordPressは無料で利用できるウェブサイト向けのCMS（コンテンツ・マネジメント・システム）で、その導入によりHTMLやCSSを直接編集することなく、ウェブサイトを更新することができる。プログラムが公開されているオープンソー
WordPress セキュリティ白書
セキュリティ 私たちは、WordPress プロジェクトとエコシステムのセキュリティをとても重視しています。20年以上の歴史と Web の 43% を超えるシェアを誇る私たちは、個人ブロガーから企業組織まで、すべてのユーザーのセキュリティ確保に取り組んでいます。 WordPress は、WordPress コア、WordPress.org で利用できるプラグインやテーマ、またより幅広い WordPress エコシステムにおける脆弱性について責任ある開示を奨励しています。 WordPress に脆弱性を発見したと思われる場合は、その情報を秘密にして、WordPress セキュリティ チームに報告してください。 WordPress.org で利用可能な WordPress プラグインまたはテーマに脆弱性を発見したと思われる場合は、秘密にしておいてください。 プラグインの脆弱性については、プラグ
WordPressで管理画面を作る方法
WordFes Nagoya 2015のスタッフにお声がけいただき、「管理画面を、効率よく安全に作成する方法」というお話をします。話の概要は書きのようなものです。 ウェブ制作者が対象のセキュリティの話ウェブ制作者向けにセキュリティの話、ということで、ありがちなケース「ウェブサイトにスライダーイメージを追加する」をネタに、「効率よく作る」「安全に作る」を考えます。 セキュリティといっても、特別な注意を払って作らなければいけないわけではなく、WordPressの標準機能を理解し、適切に使うことで、安全に作れる、というストーリーです。 WordPressは管理画面を自由に作れる。しかし、自己流で管理画面を作った場合、手間がかかります。また脆弱性を作りこんでしまうこともあります。WPの標準機能で管理画面を作る。カスタム投稿タイプ (ver.3.0以降)、Settings API (ver.2.7以
攻撃者からみたWordPressセキュリティ / WordCamp Kansai 2015
WordCamp Kansai 2015 2015/07/26
WordPressでしっかり設定しておきたいセキュリティやメンテナンスに役立つ.htaccessのまとめ
WordPressでブログやサイトを運営する前、そして運営している時にしっかり設定しておきたいWordPressのセキュリティやメンテナンスに役立つ.htaccessの設定を紹介します。 .htaccessファイルを守る 最初に行うことは、.htaccessをあなた以外の無許可のアクセスから守ることです。下記のスニペットは第三者があなたの.htaccessファイルにアクセスするのを阻止します。 ルートの「.htaccess」に下記を記述します。 <files ~ "^.*\.([Hh][Tt][Aa])"> order allow,deny deny from all satisfy all </files> wp-config.phpファイルを守る WordPressでもう一つ重要なファイルがあります、それはwp-config.phpです。
WordPressで攻撃を受けやすいファイルとそのセキュリティー対策まとめ
アクセスログの取得まずは、サーバーからアクセスログを取得します。 僕は、今エックスサーバーしか利用していないので、その方法を書きます。 エックスサーバーの場合はサーバーパネルからログインしてパネルを開きます。 そして、「統計」項目の「ログファイル」をクリックします。 あとはドメインを選択して、 ダウンロードするだけです。 エックスサーバーデフォルトの場合は「nelog.jp.access_log」というファイルがダウンロードされます。 このアクセスログには、すべてのファイルへのアクセスに対する「1週間のログ」が書き込まれています。 すべてのファイルへのログなので、当サイトの場合だと2GB以上あり、600万行以上のテキストになっていました。 アクセスログの解析方法 これら膨大なアクセスログから、一つ一つ怪しいファイルを見ていくのは不可能なので、簡単な解析用コードをRubyで書きました。 Wo
WordPressのセキュリティ系プラグイン『SiteGuard WP Plugin』が非常に便利すぎる | 佐賀でふらふり
今日はお散歩に出かけて、桜の花と梅の花を満喫してきました。 気温も結構暖かく、もう春着てますね～。 さて、最近知ったプラグインなんですが『SiteGuard WP Plugin』というもの。 WordPress › SiteGuard WP Plugin « WordPress Plugins きっかけは、ヘテムルでWordPressを自動インストールした時に、最初から入っていました。 Akismetは商用利用は有料なので使えず、かといって他にいい感じのセキュリティプラグインを見つけきれてなく、このプラグインが国産ということもあって、とりあえずお試しで使ってみました。 使ってみるともうAkismetなんか使わなくても、十分有り余るくらいのプラグイン。 いやぁ、これは使ってみるべきですよ。 目次 SiteGuard WP Pluginの機能 各種設定方法 管理ページアクセス制限 ログインペー
wp-content の移動とリネーム - WordPress セキュリティ対策デモサイト
「 wp-content 」ディレクトリにはプラグインやテーマ、アップロードした画像があります。このディレクトリへの攻撃として「脆弱性のあるプラグインやテーマへの攻撃」があります。たとえば当社サイトのアクセスログを見ると「 /wp-content/themes/timthumb.php 」の記録が数多くあります。そして標準の構成であれば攻撃側は既に把握しているため、プログラムでアタックするだけです。 ちなみに攻撃側は下手な鉄砲も数撃ちゃ当たるで無差別に脆弱性を叩きます。WordPress を使っていないサイトであっても、「 timthumb.php 」を未使用でも、アクセスログにはそのような攻撃の記録が残ります。攻撃はプログラミングの定型文ですので「 wp-content 」ディレクトリ名を使わなければ攻撃は届きません。これが名前を変える趣旨です。 なお、ソースを見ると「 wp-conte
プラグイン作者必読！実例に学ぶ脆弱なWordPressプラグインの作り方、又はwp-adminを守る理由 | ゆっくりと…
セキュリティ・コンサルティング Sucuri の 2014年11月の記事 によると、WordPress プラグインの3大脆弱性は、SQL インジェクション（SQLi）、クロス・サイト・スクリプティング（XSS）、ファイル・インクルージョン（FI）とのことです。 冒頭のグラフ は最新の分析結果で、この事実を裏付けています。プラグイン開発の チュートリアル や 手引き には、脆弱性を作り込まないためのポイントが上手にまとめられているのに、なぜ無くならないのでしょうか？ 「ヒトが作るものだから、バグがあって当然」と言ってしまえばそれまでですが、 Sucuri のブログ を読み漁っていると、こと脆弱性に関する限り、 WordPress に特有の「思い込み」や「見過ごし」といった、ヒトの心理的・認知的な盲点が原因の多くを占めているんじゃないかと思えてきます。 だから単に PHP のセキュリティ Ho
JP-Secure SiteGuard WP Pluginは不正ログイン防止に役立つか
JP-Secure(ジェイピー・セキュア )によりSiteGuard WP Pluginが公開されました。JP-Secureは、ウェブアプリケーションファイアウォールなどのセキュリティ商品を提供している会社です。今回、ログイン周りに関連する部分を試してみました。調査したプラグインバージョンは1.0.2です。試したのは以下の4つです。 Rename Login CAPTCHA Same Login Error Message Login Lock です。今回はログイン機能に関連するところを調査しましたので、Admin Page IP Filter、Disable Pingback、WAF Tuning Supportは調査対象から除外しました。Fail onceはログインに関係しますが、プラグインの初期設定でオフなので除外しました。 Rename Login WordPressのログインペー
WordPress の安全性を高める - WordPress Codex 日本語版
WordPress ではセキュリティを非常に重要なものと考えています。しかし、他のどんなシステムでも同様ですが、基本的なセキュリティ対策がなされていない場合には問題が発生する可能性はあります。このページでは、よくある脆弱性について、そして WordPress を安全に保つためにできることを紹介します。 このページはセキュリティに対する心配を一掃するその場限りの応急措置とは違います。特定のセキュリティ問題や不明な点を抱えている場合は、コンピューターセキュリティの知識を十分に持っている信頼のおける人ときちんと話し合うべきです。 セキュリティとは 基本的には、セキュリティとは「完璧に安全なシステム」のことではありません。そのようなものは実用的ではないか、見つけたり運用したりするのは不可能といえるでしょう。セキュアなサーバーは、サーバー管理者のコントロールのもとに、リソースのプライバシー・整合性・
ピンバック機能（XML-RPC）悪用対策
WordPress のピンバックによる DDoS 攻撃が話題になっていますね。 こちらの記事によると、なんと 162,000！？もの正規のサイト（スパムサイトではない）が DDoS 攻撃の踏み台に悪用されたという驚きの内容です。 →「今度は WordPress が踏み台に、 Pingback 機能を悪用し DDoS 攻撃」 WordPress のピンバック機能は自分のサイトの記事 URL が貼られると自動的に通知するという機能ですが、これは XML-RPC API により実装されており、 3.5 以上からはデフォルト有効になっています。 XML-RPC とは XML-RPC とはリクエストを XML でポストしてレスポンスを XML で取得するための規格です。 WordPress の場合は XML-RPC API を使用すると管理画面以外から、記事投稿や編集などのいわゆるリモート投稿が行え
WordPressをXSS攻撃から守るために最低限実施しておきたい対策について | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
9月19日 10:30 ※19:00更新 LIGブログ寄稿ライターによる当記事につきまして、読者の方からいくつかのご指摘を受けました。 記事内で不正確な表現を使用していたため、内容に誤りがありました。一度記事を取り下げ、記事内容を精査・修正いたしましたので、再掲載させていただきます。大変申し訳ありませんでした。 引き続き、情報の精度向上に努めて参りますので、よろしくお願いいたします。 LIGブログ編集部 どうもコンニチワ……モリイです。夏場の暑さをなんとか乗り切り、すっかり気が抜けてしまっている今日この頃です。すみません、愚痴ってしまいました。 さて、XSS攻撃による被害がかなり増えています。もはや他人ごとではなく、明日あなたが管理しているサイトがXSS攻撃されてもおかしくないレベルで被害は拡大しているのです。 実際、本業ではWordPress専用のセキュリティ診断サービスを運営している私
WordPressの5つの主要セキュリティプラグインを詳細に比較してみた | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
どうもコンニチワ、セミの鳴く季節に突入し、ますます外出したくないライターのモリイです。 本業ではWordPress専用のセキュリティ診断サービスを運営しているため、常日頃からWordPressユーザーの皆様のお役に立つセキュリティ対策を提供することを心掛けているのですが、みなさまがよく利用されているセキュリティpluginについては、以下のようなお悩みをよく耳にします。 「何ができるのか？」 「何ができないのか？」 「何が不足してどうすれば補うことができるのか？」 そこで、上記の内容について、以下でまとめてみました。今回の検証はかなり時間を要するものになりましたが、ご覧いただければ幸いです。 なお、今回検証したWordPress、およびセキュリティ対策プラグインのバージョンは以下のとおりです。（2014/07/22現在） WordPressバージョンやpluginバージョンにより設定可能な
Attacking WordPress | HackerTarget.com
SECURITY RESEARCH, TOOLS | October 24, 2013 Attacking & Securing WordPress Learn the tips and techniques used to attack and break into WordPress based websites. With knowledge of these hacker techniques, you will be better prepared to keep your sites secure. Penetration testers or red teams wishing to exploit WordPress targets will also find helpful pointers in this guide. Introduction to WordPres
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://twitter.com/matsuu/status/1522751803242455043
WordPress 管理画面を効率よく、安全に作成する方法
howa-tarou.info
WordPress推しブログ - ねたわん
