どういうハッキングをされるのか？ さて、本題です。ここ10年ちょっとWordPress専門で仕事をしていますが、自分が遭遇したり知り合いが遭遇したケースは「サーバー内のファイルが書き換えられて、アクセスすると他のサイトにリダイレクトされる」というケースです。 サーバーのファイルを見てみると概ね以下の症状になります WordPressをインストールした各ディレクトリのindex.phpなど、phpファイルの文頭に怪しげなコードを書き込まれているwp-content/uploads/ の中には通常画像ファイルなどばかりのはずが、見に覚えのないファイルを大量に置かれる通常の投稿内にいろいろ投稿される（このケースは近年は自分や周りでは遭遇していない） これらのファイルは全部キレイに駆除しない限り、該当部分を削除したり、該当ファイルを削除しても残っているファイルから再度改竄してくるので面倒です。 復

「これだけ」はやっておこう──WordPressのセキュリティ対策、基礎中の基礎：とにかく速いWordPress（18）（1/2 ページ） エンタープライズ用途での利用が増えている「WordPress」の高速化チューニングテクニックを解説する本連載。今回から2回にわたって、WordPress管理者向けセキュリティ対策の基礎とその方法を解説します。 連載バックナンバー 前回は、2017年2月に古いバージョンのWordPressで発覚した脆弱（ぜいじゃく）性を踏まえ、その対策を万全にするための「WordPressのバージョンアップ自動化」と「最新のアップデートを適用する手順」を解説しました。そのセキュリティ対策をもっと強固にしていただくために、今回から全2回にわたって、あらためて「WordPressサイトを運用する上で欠かせないセキュリティ対策の基礎」を解説していきます。 WordPressの

昨日あたりから話題になっていたPHPMailerの脆弱性。Wordpressでサイトを運営している人には、かなりヒヤリとするニュースでもあったけど、Wordpressは実際このシステムを使用しているものの影響は無いらしい...と言う見解の記事が幾つか出て来て、ほっ... Secutity Next 「PHPMailer」の脆弱性、「WordPress」などでは悪用できず 「WordPress」のコアに存在するファイルにも「PHPMailer」に由来するコードが含まれていることが判明しているが、同問題に対して「WordPress」のセキュリティチーム関係者は、コア部分で提供されている関数「wp_mail()」を利用している限り、今回公開された脆弱性の影響を受けないとコメント。 ただし、「PHPMailer」を独自に導入しているケースや、プラグインが関数を誤って利用している場合は影響を受けるお

WordPressのセキュリティ用プラグインのSiteGuard WP Pluginは 「ログインを何度も失敗するユーザーに対してロックを掛ける」など主にログイン画面の機能強化用の複数の対策ができる (複数のプラグインを導入・運用する手間が下がる) WordPressで特に狙われやすいXML-RPCの無効化機能も持っている ひらがなの画像認証機能を持つため日本語を理解していない攻撃者に対して比較的有利 WAFを提供しているJP-Secureが提供している 法人かつ主事業とマッチしているため品質がある程度見込め、メンテナンスが中長期続く(放棄されない)可能性が高い 日本製のため設定や説明ページが日本語 という比較的価値の高いプラグインです。 使っていて少し留意したほうがよいかもしれない点が2点あったので参考のため記載しておきます。(この文章の記載時点でのSiteGuard WP Plugin

こんにちは。HASHコンサルティングの一ノ瀬太樹です。 前回の記事では「弊社のWordPressに対する取り組み（by HASHコンサルティング 松本）」について書かせて頂きました。 HASHコンサルティングでは日々増えていくWordPressサイトのセキュリティ対策に貢献するべく、 WordPressサイトのセキュリティ強化支援サービスを展開させて頂いております。 https://www.hash-c.co.jp/service/wordpress_security/ さて、このブログを読んでいる方の中には既にご存知の方もいらっしゃると思いますが、 弊社は2016/9/30にコーポレートサイトをリニューアルしています。 https://www.hash-c.co.jp/ そして、リニューアルされたコーポレートサイトでは 皆様の人柱となるために WordPressが利用されているのです！

On Tuesday of last week, we got a notification from Google that stated a client website was hacked. What I didn’t realize at the time was this was one of the craziest SEO hacks I’ve seen in a very long time, let’s take a look Inside a Hacked SEO Backlink Network – Elite Strategies. These types of hacks are extremely common on the interwebs, especially on WordPress sites. The hacks usually play out

説明 昨年投稿した「ログインページを変える」をプラグイン化。ログインページを独自の名前のページ変更し、標準のログインページwp-login.phpを使用できないようにするプラグインです。部外者によるwp-login.phpのアクセスにお悩みの方にお勧めします。また2.0.0では「XML-RPCリクエストの管理機能」を追加。2.2.0では管理者のログイン時にメールで通知する機能を追加しました。 インストールおよび使用方法 1. Login rebuilderのアーカイブファイルを解凍し、フォルダごと /wp-content/plugins/ の中に入れてください。 最新のLogin rebuilderのアーカイブファイルは、「wordpress.org（194KB）（wordpress.orgは申請中）」からダウンロードしてください。 2. 管理ページのプラグインページで「Login reb

タイトルの通りなのですが、 管理画面のＵＲＬを変えることは出来るのでしょうか？ 私は、ユーザー投稿型のサイトを作ろうと思っています。 そこで、投稿型のサイトになると、どこの画面を使って投稿してもらうか、 ということを考えたときに、 私は、管理画面を「投稿者」の権限に設定することで、管理画面を公開しようと考えています。 （管理画面を不特定多数の人に公開することもいいのかどうかわかりませんが・・・） ただ、管理画面を公開した時に、 wp-adminとストレートにＵＲＬに表示されてしまうのも どうかと思い、変更する必要があるかもしれないと少し思ったので質問しました。 ＵＲＬについての情報は少なく、フォーラムなどでも具体的な内容のものを 見つけられなかったので、今回トピックをたてました。 セキュリティの話も含め、ＵＲＬについて、 なにかわかる方がいらっしゃいましたら、ぜひ教えていただきたいです。

PostgreSQLのロール管理とその注意点 （Open Source Conference 2022 Online/Osaka 発表資料） 2022年1月29日 NTTデータ 技術開発本部 先進コンピューティング技術センタ 加藤 慎也

[対象: 上級] 気付いている人もいるかと思いますが、このブログ全体をHTTPSにしました。 この記事では、備忘録を兼ねて、完全HTTPSへの移行を検討しているサイトの参考になるように僕が実行してきたプロセスをまとめます。 実行した主な作業は次のとおりです。 サーバー証明書の取得 HTTPSへのリダイレクト 内部リンクの修正 各種ツール・パーツのHTTPS動作確認 すべてのコンテンツがHTTPSでダウンロードされているかを確認 WordPressの設定変更 rel=”canonical”の更新 ウェブマスターツールへの登録 サイトマップの更新 ソーシャルシェアの引き継ぎ HSTSの設定 外部リンクの更新 高速化 順に説明します。 1. サーバー証明書の取得 サーバー証明書をまず取得します。 手順は利用しているサーバー会社によって変わってきます。 詳しくはお使いのサーバー会社のヘルプを参照し

JP-Secure、日本語対応WordPress用セキュリティプラグイン 「SiteGuard WP Plugin」無償提供開始 〜　国内ベンダー初、WordPressのセキュリティ対策と発展に貢献　〜 2014年10月24日 株式会社ジェイピー・セキュア 株式会社ジェイピー・セキュア（本社：神奈川県川崎市、代表取締役：菅原修、以下「JP-Secure」）は、日本語対応のWordPress用セキュリティプラグイン「SiteGuard WP Plugin」の無償提供を開始しました。 WordPressは、簡単にブログを作成できるだけでなく、プラグインによる機能拡張など、ユーザーにとって様々な魅力がある実績豊富なオープンソースのCMSです。特に、ホスティングサービスを利用しているユーザーからの人気が高く、世界的にも圧倒的な人気を誇っています。しかしながら、不正ログインや改ざんなど、WordPr

Krebsが自分のサイト(KrebsOnSecurity)に対して41,000超のWebサイトからDoSを受けていると報告しています。 このDoSはWoredpressのpingbackを悪用したものらしく、先日、Sucuriもpingback機能を悪用したDoSについて報告していました。 More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack WordPressの16万サイトが大規模攻撃の踏み台に、「Pingback」機能悪用 - ITmedia エンタープライズ pingbackを悪用したDoS方法 pingbackはハイパーリンクを設置したことを通知する仕組みですが、リモート投稿(XMLRPC)の機能（WordPressのxmlrpc.php）に対して次のPOSTを送信するとそのW

わずか数時間で16万2000ものWebサイトが、1つのWebサイトに対して集中攻撃を仕掛けていたという。 WordPressを使っている一般ユーザーのブログが大規模なサービス妨害（DDoS）攻撃に加担させれられているのが見つかったとして、セキュリティ企業のSucuriが3月10日のブログで問題を指摘した。この攻撃ではブログにリンクが張られたことを通知する「Pingback」という機能が悪用されていたという。 発端は、WordPressを使っている特定の人気サイトがDDoS攻撃を仕掛けられてダウンしたことだった。Sucuriが調べたところ、このWebサイトのサーバに対して毎秒数百件ものリクエストを送り付ける大規模攻撃が発生していたことが分かった。 同サイトを襲ったリクエストは全て、WordPressを使った正規サイトから来ていたことが判明。わずか数時間で16万2000ものWebサイトが、この

書き換え事件でも使われた？ WordPressプラグインの脆弱性とシンボリックリンク：試してみなけりゃ分からない？ 古いWebアプリの脆弱性（4）（1/4 ページ） 前回の記事「CMSに残る反射型XSSを使ったセッションハイジャック」でも紹介したとおり、CMS（Contents Management System）の脆弱性を狙った攻撃が後を絶たないようだ。 中でも話題となっていたのが、共用レンタルサーバを狙った広範囲の書き換え攻撃だ。「共用」という性質もあって、同一のサーバを使用していた複数のユーザーのデータが横断的に書き換えられた点が、2010年代には逆に新しい。この事件で、忘れかけていた昔の設定方法を思い出した方も多かったのではなかろうか。どうやらこの事件を起こしたのは愉快犯だったらしく、書き換え以外に大きな実害はなかったようだが、それでも今さらながら、共用レンタルサーバの怖さに気づい

(2013/08/29)追記 ロリポップ上のWordPressが不正アクセスされる事例が増えているようです（参考）。現時点で侵入経路等は明らかでありませんが、以下に説明する方法で、公開ページに対するSQLインジェクション攻撃や、管理コンソールに対する不正ログインに対しては、かなり効果があると考えられます。ユーザーの参考になれば幸いです。また、タイトルを変更しました。 追記終わり 今年の9月27日から、ロリポップのレンタルサーバーの全プランで、WAF(SiteGuard Lite)が標準装備されるようになりました。 WAF（ウェブアプリケーションファイアウォール）を導入いたしました ロリポップ！レンタルサーバーはWAF標準装備です。 http://lolipop.jp/waf/より引用 これは大変良いことですね。インターネット上のすべてのサイトが攻撃の対象ですし、被害も増えている印象がありま