WordPressテーマに巧妙に仕込まれているマルウェアを見つけ出してくれるプラグイン | ニトなび
WordPressでサイトを作っているほとんどの方が無料、有料問わず、配布されているテーマを利用していると思いますが、その配布されているテーマの7割以上が正規の手続きがなされていないものだという事をご存知でしょうか？ つまり、WordPress.orgの認可を取得していないサードパーティというか社外品のテーマという事です。 では、何故そのような社外のテーマが続々と登場してくるかというと、単にニーズが多いからです。 ニーズが多い理由として挙げられるのが、斬新なテーマからミニマルなテーマまで幅広く選び放題というのが一番かと思いますが、どうしてもデフォルトのテーマとかですと、何かカスタマイズを施さないと物足りないものが多い中、社外ですと何も弄らなくてもそのままでカッコいいデザインのテーマも多いですから・・・カスタマイズに自信の無い人にとって社外のテーマは願ったりかなったりでしょうしね。 しかし、
ピンバック機能（XML-RPC）悪用対策
2014/07/07 タグ: スパム対策, セキュリティ, 初心者 WordPressのピンバックによるDDoS攻撃が話題になっていますね。 こちらの記事によると、なんと162,000！？もの正規のサイト（スパムサイトではない）がDDoS攻撃の踏み台に悪用されたという驚きの内容です。 →「今度はWordPressが踏み台に、Pingback機能を悪用しDDoS攻撃」 WordPressのピンバック機能は自分のサイトの記事URLが貼られると自動的に通知するという機能ですが、これはXML-RPC APIにより実装されており、3.5以上からはデフォルト有効になっています。 XML-RPCとは XML-RPCとはリクエストをXMLでポストしてレスポンスをXMLで取得するための規格です。 WordPressの場合はXML-RPC APIを使用すると管理画面以外から、記事投稿や編集などのいわゆるリモー
【WordPress便利ツール】リモートでセキュリティスキャンをしてくれる「WPScan」 #wordpress｜CodeIQ MAGAZINE
【WordPress便利ツール】リモートでセキュリティスキャンをしてくれる「WPScan」 #wordpress 2014.07.29 Category：技術コラム Tag：WordPress WordPressは、多くのユーザーが利用している。そのためWordPressを標的とする攻撃も多い。 リモートでセキュリティスキャンを行うツールにwp-scanがある。このツールを使うと、WordPressが危険な場合に知らせてくれる。 自分のウェブサイトをチェックしてみてはいかがだろうか。を紹介する。WordPressでサイト運営している人は自分のサイトをチェックしてみよう。 by レスキューワーク株式会社 水野史土 WordPressセキュリティ WordPressは、世界中の言語に翻訳されており、多くのユーザーが利用しています。利用者が多いため、WordPressを標的とする攻撃も多いです。
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
このドメインは お名前.com から取得されました。 お名前.com は GMOインターネットグループ(株) が運営する国内シェアNo.1のドメイン登録サービスです。 ※表示価格は、全て税込です。 ※サービス品質維持のため、一時的に対象となる料金へ一定割合の「サービス維持調整費」を加算させていただきます。 ※1 「国内シェア」は、ICANN(インターネットのドメイン名などの資源を管理する非営利団体)の公表数値をもとに集計。gTLDが集計の対象。 日本のドメイン登録業者(レジストラ)（「ICANNがレジストラとして認定した企業」一覧（InterNIC提供）内に「Japan」の記載があるもの）を対象。 レジストラ「GMO Internet Group, Inc. d/b/a Onamae.com」のシェア値を集計。 2023年5月時点の調査。
自動バックグラウンドアップデートを止める方法
一応、日本語情報が見つからなかったのでメモ。3.7から管理画面の「更新」ページから手動で実行しなくても、勝手にバージョンアップしてくれる自動バックグラウンドアップデート機能が実装されました。アップデートがチェックされるのは、コアファイル、テーマ、プラグイン、翻訳の４つです。テーマ、プラグイン、コアのメジャーバージョンは自動アップデートがデフォルトでオフになっていますので、コアのマイナーバージョンと翻訳が今のところ自動アップデートの対象です。 自動アップデートはwp-config.phpに以下追記で停止できます。 define( 'AUTOMATIC_UPDATER_DISABLED', true ); ただし、セキュリティを高めるために特別な理由がない限り止めない方がよいです。何となく怖いから止めておくというのはナンセンスな態度です。WordPress.orgからダウンロードしたテーマやプ
セキュリティ対策まとめ（2013年秋）
JOJOのアニメ第三部が正式に決まったそうですね！ 楽しみ～な、にわかファン Latin です。 最近のWordPress界隈ではAmazon Web Serviceが俄然盛り上がっておりますが、大好きなWordPressを守るため、セキュリティ対策をまとめてみました。 初期セットアップ・設定系の対策 データベースのプレフィクス（接頭辞）を変更する wp-config.php 内の「wp_」の接頭辞を任意のものへ変更します。 その場合、追加で以下の作業が発生します。 phpMyAdmin などを使い、データベースのテーブルネームを変更したカスタムプレフィクスに変更する。 options や usermeta テーブルなどの他のフィールドでも「wp_」プレフィクスが使われている可能性がある為、以下のクエリーを走らせてプレフィックスを変更する。 SELECT * FROM `myprefix_
WordPressに入れておきたい、セキュリティ系プラグインなどのまとめ
横田です。このサイトもWordPressで構築しておりますが、最近はWordPressのセキュリティ関連が注目されています。セキュリティについては、完全に防御できることはありえませんが、いくつかのテクニックを覚えておいたり、WordPressのセキュリティを高めるプラグインを入れれば、自分のWordPressが多少はセキュアになると思います。 というわけで、今回はWordPressのセキュリティを高めるテクニックやプラグインをご紹介します。 《プラグインを入れる前に、まずはこれを読んでください》 ・ノンプログラマーのための WordPressセキュリティ入門 色々とセキュリティ系のプラグインを入れる前に「プラグインを入れる前に覚えておくこと」や「そも々なんのためにプラグインを入れているのか？」を考える必要があります。これらを知るには宮内 隆行さんが作成された「ノンプログラマーのための Wo
wordpressハッキングされました（涙）adminアカウント消すだけじゃダメ！ - 渡米生活。（日記）
とある非営利団体のweb masterになって３日目。 wordpressで作った新サイトがハッキングされました（涙目） 私が作ったサイトではなく、ちょっとセキュリティが甘かったので、管理をひきついですぐに、とりあえずadminアカウントは消したのだけど、簡単に破られました。 理由は、新しく作ったアカウントのニックネーム（web表示名）が、ログインアカウントと同じだったから（爆） wordpressは、デフォルトで「投稿者名」のページを作ります。同じ投稿者が投稿した記事を集めるページです。 で、ここに表示されるニックネームが、ログインで使うログインアカウントと同じだと、外部にログインアカウントを公表しているのと同じことに！ 私もうっかりして、ニックネームを変えるのを忘れていたんですが、コレ、ひとこと注意書きがあってもいいよね……（汗） ただ、今回のハック、なんかちょっとへんな感じで、新しく
Linuxセキュリティ標準教科書 ダウンロード LinuCレベル3 303試験対応 | Linux技術者認定試験 リナック | LPI-Japan
Linuxサーバの構築・運用に最低限必要なセキュリティの知識の学習に最適な教科書 LPI-Japanは、Linux/OSS技術者教育に利用していただくことを目的とした教材「Linuxセキュリティ標準教科書」を開発し、無償にて公開しています。 Linuxは、多くのシステムにおいてサーバOSとして採用されるようになり、社会における重要な位置を任されるOSへと成長しました。同時に、標的型攻撃をはじめとしたサイバー攻撃は年々高度化しており、Linuxシステムにおいても高いセキュリティレベルの確保、またセキュアなLinuxシステムを構築することのできるスキルを持った人材の育成は優先度の高い課題の一つとなっています。本教材は、Linuxにおけるセキュリティを学習・再認識するために最低限必要となる知識を体系的にまとめた内容となっています。本教材が教育機関や企業研修でのLinux/OSSにおけるセキュリテ
WordPressをStaticPress+Amazon S3+Vagrantでセキュリティ万全にする方法 [前編] - @masuidrive blog
最近、大規模なWordPressのサイトの乗っ取りが発生しました。今回の原因はWordPressではなくサーバの設定に問題があったようですが、LAMPサーバの設定を正しく行うのは難しいですし、ApacheやPHP、WordPressのバージョンアップをきちんと行っていくのは、結構大変です。 自分でサーバを運用していて、セキュリティ対策をきちんとしていると言える人は、実はあまり多くないのでは無いでしょうか？プラグインなどを複数導入している場合には、それらのプラグインのセキュリティ対策を行うのはかなり難しいといえます。 そんな中、高セキュリティ環境でWordPressを運用する方法はないのか考えてみました。それにはサーバ上でアプリを動かさないのが一番では無いでしょうか？ 私のブログであれば、Voteなど動的な機能は使っていないので、WordPressのデータから静的なHTMLを生成して、Ama
![WordPressをStaticPress+Amazon S3+Vagrantでセキュリティ万全にする方法 [前編] - @masuidrive blog](https://cdn-ak-scissors.b.st-hatena.com/image/square/5c5c3e4330805bfc33fc80aa0e5843be18a0177d/height=288;version=1;width=512/http%3A%2F%2Ffarm1.staticflickr.com%2F6%2F5961468_60d27d4dde_m.jpg)
WordPress 日本語版用 Exploit Scanner ハッシュファイル
日本語版用 Exploit Scanner ハッシュファイルの配布は停止いたしました。現在、WordPress 英語版と日本語版の差異はほとんどないためプラグインに含まれている英語版用のハッシュファイルをそのまま利用しても実用には大きな問題はないと思われます。 2015/9/12 更新 — WordPress Exploit Scanner は、WordPress コアファイルの改竄発見機能を持ったプラグインです。プラグインパッケージに含まれるファイル比較用ハッシュファイルは WordPress 英語版のみの対応となるため、下記より WordPress 日本語版用のハッシュファイルを提供いたします。 WordPress 日本語版用 Exploit Scanner ハッシュファイルのダウンロード WordPress 日本語版用ハッシュファイルの MD5: hashes-3.6.php の M
ドコモ海外利用アプリに脆弱性、Wi-Fi接続で情報漏えいの恐れ
Wi-Fiアクセスポイントへの接続処理の際に、第三者にユーザー情報を盗み取られてしまう可能性があります。 情報処理推進機構とJPCERT コーディネーションセンターは8月7日、NTTドコモのAndroid向けアプリに「ドコモ海外利用アプリ」に脆弱性が確認されたと発表した。ユーザー情報が意図せずに送信されてしまう恐れがある。 脆弱性はWi-Fiアクセスポイントへの接続処理に起因するもので、アプリのVer2.0.0からVer2.0.4までに存在する。ユーザーによるWi-Fiアクセスポイントへの接続処理の際に、不正行為を行う第三者によってユーザーの情報が取得される可能性があるという。 NTTドコモは2012年12月10日に対処を完了。現在Google Playで公開しているアプリでは脆弱性が解決されており、ユーザーにアップデートを呼びかけている。
スタバ無線LANサービス、メールやIDパスがダダ漏れ？
2012年7月2日、スターバックス店舗内で、完全無料の公衆無線LANサービスが開始された。現在（2012年7月末現在）のところ、対象店舗は東京23区内の約200店舗に限られているが、今年中に全国850店舗に拡大する予定だ。大手コーヒーショップチェーンで、これほどの規模で無料の無線LANサービスが提供されることは前例がない。 現在、無料対象の店舗以外でパソコンで無線LANを使おうとすると、NTTドコモの「docomo Wi-Fi（Mzone）」や「フレッツ・スポット」「Wi2 300」といった有料の公衆無線LANサービスと契約している必要がある。だが、全店でサービス展開が実現した暁には、有料の公衆無線LANサービスを契約する必要がなくなる。既存の公衆無線LANサービスを展開する事業者にとっては、大きな脅威だろう。 また、無線LAN自体の性能も最新サービスにふさわしく、最速の規格である「IEE
WordPress で二段階認証を可能にするプラグイン「魍魎」 - dogmap.jp
WordPress で、メールまたは SMS でワンタイムパスワードを発行して二段階認証ができるようにするプラグイン「魍魎」を公開しました。 「絡新婦」「狂骨」に続く、日本の妖怪シリーズ第三弾です。 現在、公式プラグインディレクトリに申請中ですので、気になる方は github のリポジトリから取得してください。 https://github.com/wokamoto/spirits-and-goblins 追記: 2013-06-24 WordPress 公式プラグインディレクトリでも公開しました。 Spirits and Goblins インストールして有効化すると、通常のログイン後にユーザのメールアドレス宛に送信されたワンタイムパスワードを入力しないとダッシュボードに入れなくなります。 送信オプションとしてはメールと SMS (ショートメッセージ) が選択できます。 「ショートメッセー
WordPressでパスワードもメールアドレスも知らないまま管理画面に入る | 高橋文樹.com | 雑記
この投稿は 10年半 前に公開されました。いまではもう無効になった内容を含んでいるかもしれないことをご了承ください。 WordPressをお仕事でやっていると、わりと丸投げ感のある状態で渡されることがあります。よくあるパターンとしては「さくらインターネットとかから送られてくるサーバ設定情報のメールがそのまま送られてくる」という奴ですね。 僕はすぐ邪推する人間なので、こういうときは「前の人がバックレたか空中分解したかのどちらかだなー、やりたくないなー」と内心怯えつつ設定を確認していくのですが、まれにクライアントが管理画面へのアクセス権を持っていない上に、管理者のパスワードもメールアドレスもわからん、という状況があります。 こうなるとユーザーが作れなくて困ってしまうのですが、最悪FTPが使えればログインできるので、その方法を紹介します。 1. ログイン用スクリプトを作成 以下のような内容のファ
Google Sites: Sign-in
Not your computer? Use a private browsing window to sign in. Learn more
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
自動バックグラウンド更新の設定 - WordPress Codex 日本語版
mesiopress.com
新手のbotネット Fort Disco－多数のWordPressサイト等を既に汚染？ - Cyberlaw
不正ログインの攻撃はどこからきて、どんなパスワードを試しているか
