ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]
WordPressのセキュリティ設定に関するブログ記事は山ほど見かけますが、今回はよく発生する改ざんについて「効果が高い」「比較的カンタンに出来る」「費用がかからない」という視点でピンポイントに対策したいと思います。 不正アクセスの目的と手口 そもそも何が目的で不正アクセスをしようとしてくるのか？ 自分も含めいろいろな改ざん報告を見ると、 改ざん者が関連しているウェブサイトへ誘導するスクリプトをこっそり書いていく 投稿の本文の文中にサイトへの誘導リンクを書き込む メールを自動送信するプログラムが書いてあるファイルをテーマディレクトリ内に置かれる というケースが多いようです。 効率良く改ざんするための手順 それでは、上記の事を達成するのに効率が良いのはどんな方法か？ 現実的に考えて、人間が手動で一つ一つのサイトにハッキングを試みるのはどう考えても効率が悪いです。そんな事をするくらいなら時給で
![ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]](https://cdn-ak-scissors.b.st-hatena.com/image/square/f766f5261227a22c288258afdfb88c6481b833da/height=288;version=1;width=512/https%3A%2F%2Fbizvektor.com%2Fwp-content%2Fuploads%2Fsec1-1024x538.jpg)
WordPressのSEO対策プラグインに脆弱性
「All in One SEO Pack」に存在する脆弱性悪用された場合、検索結果ページの表示順位を意図的に下げられたり、管理用コントロールパネルに不正なJavaScriptコードが挿入されたりする恐れがあった。 WordPressで作成したWebサイトのSEO（検索エンジン最適化）対策に使われるプラグイン「All in One SEO Pack」に脆弱性が見つかり、修正のための更新版がリリースされた。セキュリティ企業のSucuriが5月31日のブログで明らかにした。 Sucuriによると、All in One SEO Packには権限昇格とクロスサイトスクリプティング（XSS）の2件の脆弱性があり、同プラグインの修正前のバージョンを導入している全サイトが影響を受ける。 悪用された場合、ログインしたユーザーがAll in One SEO Packの特定のパラメータに手を加えることが可能だっ
WordPress 人気 50 プラグインの脆弱性
http://www.checkmarx.com/wp-content/uploads/2013/06/The-Security-State-of-WordPress-Top-50-Plugins.pdfで、WordPress 人気 50 プラグインの中に脆弱性があるプラグインがある、と報告されています。 いくつかのプラグインに、脆弱性が報告されています。SQLインジェクション、XSS(クロスサイトスクリプティング)、CSRF(クロスサイトリクエストフォージェリ)、PT(パス遡り)、RFI(外部ファイル混入)です。 SQLインジェクションについては、プリペアドステートメントを使うことでほぼ防げます。ORマッパーを自作する、とかでない限り、プリペアドステートメントを使う、で十分でしょう。WordPress カスタマイズでは、wp_insert_postを使う方法がありますし、動的プレースホル
WordPressの更新版公開、深刻な脆弱性に対処
WordPressセキュリティチームはユーザーに対し、自分のWebサイトを直ちにアップデートするよう強く促している。 オープンソースのブログ作成ソフトWordPressの脆弱性を修正する更新版が9月11日付で公開された。WordPressセキュリティチームはユーザーに対し、自分のWebサイトを直ちにアップデートするよう強く促している。 WordPressのセキュリティ情報によると、更新版の「WordPress 3.6.1」では3件の脆弱性に対処した。このうちPHPのシリアル化に関する脆弱性は、リモートからのコード実行に利用される恐れがあるという。 また、クロスサイトスクリプティング（XSS）攻撃を防ぐため、ファイルのアップロードに関するセキュリティ制限を調整したとしている。 セキュリティ問題のほかにも13件のバグ修正が盛り込まれている。
ロリポップでWordPressの改竄が拡がった理由
ロリポップでの大規模なWordPressサイトの改竄について http://lolipop.jp/info/news/4149/ ロリポップからのリリースでは、管理パスワードとログインへのアクセス制限の強化を推奨して、パーミッションの変更と全体のウイルスチェックを行うとしている。WordPressそのもののアップデートはマニュアルに方法が記載されているものの、リリースでは触れられていない。 このことから、被害が大きくなったのは、ロリポップの提供していたWordPressのインストール手順に問題があり、wp-config.phpなどのファイルのパーミッションが不適切だったためではないかと推察出来る。 いくつかのアカウントだけWordPressの管理パスワードが突破される、というのであれば、世界中でほぼいつでも起こっている。 もし、あるユーザーの管理パスワードが脆弱で推測することが出来てしまう
WordPressのテーマやプラグインでtimthumb.phpをお使いの方は脆弱性が見つかったのでご注意！ |
WordPressのテーマやプラグインで多く使われているTimThumbという画像リサイズライブラリーに脆弱性が見つかったのでご注意を！という記事がありましたのでざっと訳します。 引用元: Vulnerability Found in timthumb.php | VaultPress Blog この脆弱性により、第三者が任意のPHPコードをTimThumbキャッシュディレクトリにアップロードでき、そのコードを実行されてしまいます。 timthumb.php もしくは thumb.php が無くても動作するならサイトから削除するようおすすめします。もし使っていないテーマやプラグインの中にこのファイルがあったらそのテーマやプラグインディレクトリごと削除したほうがいいでしょう。 どうしてもこのライブラリを使いたい方は同ページに修正方法が載ってますので参照してください。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
