WordPressテーマに巧妙に仕込まれているマルウェアを見つけ出してくれるプラグイン | ニトなび
WordPressでサイトを作っているほとんどの方が無料、有料問わず、配布されているテーマを利用していると思いますが、その配布されているテーマの7割以上が正規の手続きがなされていないものだという事をご存知でしょうか？ つまり、WordPress.orgの認可を取得していないサードパーティというか社外品のテーマという事です。 では、何故そのような社外のテーマが続々と登場してくるかというと、単にニーズが多いからです。 ニーズが多い理由として挙げられるのが、斬新なテーマからミニマルなテーマまで幅広く選び放題というのが一番かと思いますが、どうしてもデフォルトのテーマとかですと、何かカスタマイズを施さないと物足りないものが多い中、社外ですと何も弄らなくてもそのままでカッコいいデザインのテーマも多いですから・・・カスタマイズに自信の無い人にとって社外のテーマは願ったりかなったりでしょうしね。 しかし、
ピンバック機能（XML-RPC）悪用対策
2014/07/07 タグ: スパム対策, セキュリティ, 初心者 WordPressのピンバックによるDDoS攻撃が話題になっていますね。 こちらの記事によると、なんと162,000！？もの正規のサイト（スパムサイトではない）がDDoS攻撃の踏み台に悪用されたという驚きの内容です。 →「今度はWordPressが踏み台に、Pingback機能を悪用しDDoS攻撃」 WordPressのピンバック機能は自分のサイトの記事URLが貼られると自動的に通知するという機能ですが、これはXML-RPC APIにより実装されており、3.5以上からはデフォルト有効になっています。 XML-RPCとは XML-RPCとはリクエストをXMLでポストしてレスポンスをXMLで取得するための規格です。 WordPressの場合はXML-RPC APIを使用すると管理画面以外から、記事投稿や編集などのいわゆるリモー
【WordPress便利ツール】リモートでセキュリティスキャンをしてくれる「WPScan」 #wordpress｜CodeIQ MAGAZINE
【WordPress便利ツール】リモートでセキュリティスキャンをしてくれる「WPScan」 #wordpress 2014.07.29 Category：技術コラム Tag：WordPress WordPressは、多くのユーザーが利用している。そのためWordPressを標的とする攻撃も多い。 リモートでセキュリティスキャンを行うツールにwp-scanがある。このツールを使うと、WordPressが危険な場合に知らせてくれる。 自分のウェブサイトをチェックしてみてはいかがだろうか。を紹介する。WordPressでサイト運営している人は自分のサイトをチェックしてみよう。 by レスキューワーク株式会社 水野史土 WordPressセキュリティ WordPressは、世界中の言語に翻訳されており、多くのユーザーが利用しています。利用者が多いため、WordPressを標的とする攻撃も多いです。
dfltweb1.onamae.com – このドメインはお名前.comで取得されています。
このドメインは お名前.com から取得されました。 お名前.com は GMOインターネットグループ(株) が運営する国内シェアNo.1のドメイン登録サービスです。 ※表示価格は、全て税込です。 ※サービス品質維持のため、一時的に対象となる料金へ一定割合の「サービス維持調整費」を加算させていただきます。 ※1 「国内シェア」は、ICANN(インターネットのドメイン名などの資源を管理する非営利団体)の公表数値をもとに集計。gTLDが集計の対象。 日本のドメイン登録業者(レジストラ)（「ICANNがレジストラとして認定した企業」一覧（InterNIC提供）内に「Japan」の記載があるもの）を対象。 レジストラ「GMO Internet Group, Inc. d/b/a Onamae.com」のシェア値を集計。 2023年5月時点の調査。
自動バックグラウンドアップデートを止める方法
一応、日本語情報が見つからなかったのでメモ。3.7から管理画面の「更新」ページから手動で実行しなくても、勝手にバージョンアップしてくれる自動バックグラウンドアップデート機能が実装されました。アップデートがチェックされるのは、コアファイル、テーマ、プラグイン、翻訳の４つです。テーマ、プラグイン、コアのメジャーバージョンは自動アップデートがデフォルトでオフになっていますので、コアのマイナーバージョンと翻訳が今のところ自動アップデートの対象です。 自動アップデートはwp-config.phpに以下追記で停止できます。 define( 'AUTOMATIC_UPDATER_DISABLED', true ); ただし、セキュリティを高めるために特別な理由がない限り止めない方がよいです。何となく怖いから止めておくというのはナンセンスな態度です。WordPress.orgからダウンロードしたテーマやプ
セキュリティ対策まとめ（2013年秋）
JOJOのアニメ第三部が正式に決まったそうですね！ 楽しみ～な、にわかファン Latin です。 最近のWordPress界隈ではAmazon Web Serviceが俄然盛り上がっておりますが、大好きなWordPressを守るため、セキュリティ対策をまとめてみました。 初期セットアップ・設定系の対策 データベースのプレフィクス（接頭辞）を変更する wp-config.php 内の「wp_」の接頭辞を任意のものへ変更します。 その場合、追加で以下の作業が発生します。 phpMyAdmin などを使い、データベースのテーブルネームを変更したカスタムプレフィクスに変更する。 options や usermeta テーブルなどの他のフィールドでも「wp_」プレフィクスが使われている可能性がある為、以下のクエリーを走らせてプレフィックスを変更する。 SELECT * FROM `myprefix_
WordPressに入れておきたい、セキュリティ系プラグインなどのまとめ
横田です。このサイトもWordPressで構築しておりますが、最近はWordPressのセキュリティ関連が注目されています。セキュリティについては、完全に防御できることはありえませんが、いくつかのテクニックを覚えておいたり、WordPressのセキュリティを高めるプラグインを入れれば、自分のWordPressが多少はセキュアになると思います。 というわけで、今回はWordPressのセキュリティを高めるテクニックやプラグインをご紹介します。 《プラグインを入れる前に、まずはこれを読んでください》 ・ノンプログラマーのための WordPressセキュリティ入門 色々とセキュリティ系のプラグインを入れる前に「プラグインを入れる前に覚えておくこと」や「そも々なんのためにプラグインを入れているのか？」を考える必要があります。これらを知るには宮内 隆行さんが作成された「ノンプログラマーのための Wo
wordpressハッキングされました（涙）adminアカウント消すだけじゃダメ！ - 渡米生活。（日記）
とある非営利団体のweb masterになって３日目。 wordpressで作った新サイトがハッキングされました（涙目） 私が作ったサイトではなく、ちょっとセキュリティが甘かったので、管理をひきついですぐに、とりあえずadminアカウントは消したのだけど、簡単に破られました。 理由は、新しく作ったアカウントのニックネーム（web表示名）が、ログインアカウントと同じだったから（爆） wordpressは、デフォルトで「投稿者名」のページを作ります。同じ投稿者が投稿した記事を集めるページです。 で、ここに表示されるニックネームが、ログインで使うログインアカウントと同じだと、外部にログインアカウントを公表しているのと同じことに！ 私もうっかりして、ニックネームを変えるのを忘れていたんですが、コレ、ひとこと注意書きがあってもいいよね……（汗） ただ、今回のハック、なんかちょっとへんな感じで、新しく
WordPressをStaticPress+Amazon S3+Vagrantでセキュリティ万全にする方法 [前編] - @masuidrive blog
最近、大規模なWordPressのサイトの乗っ取りが発生しました。今回の原因はWordPressではなくサーバの設定に問題があったようですが、LAMPサーバの設定を正しく行うのは難しいですし、ApacheやPHP、WordPressのバージョンアップをきちんと行っていくのは、結構大変です。 自分でサーバを運用していて、セキュリティ対策をきちんとしていると言える人は、実はあまり多くないのでは無いでしょうか？プラグインなどを複数導入している場合には、それらのプラグインのセキュリティ対策を行うのはかなり難しいといえます。 そんな中、高セキュリティ環境でWordPressを運用する方法はないのか考えてみました。それにはサーバ上でアプリを動かさないのが一番では無いでしょうか？ 私のブログであれば、Voteなど動的な機能は使っていないので、WordPressのデータから静的なHTMLを生成して、Ama
![WordPressをStaticPress+Amazon S3+Vagrantでセキュリティ万全にする方法 [前編] - @masuidrive blog](https://cdn-ak-scissors.b.st-hatena.com/image/square/5c5c3e4330805bfc33fc80aa0e5843be18a0177d/height=288;version=1;width=512/http%3A%2F%2Ffarm1.staticflickr.com%2F6%2F5961468_60d27d4dde_m.jpg)
WordPress 日本語版用 Exploit Scanner ハッシュファイル
日本語版用 Exploit Scanner ハッシュファイルの配布は停止いたしました。現在、WordPress 英語版と日本語版の差異はほとんどないためプラグインに含まれている英語版用のハッシュファイルをそのまま利用しても実用には大きな問題はないと思われます。 2015/9/12 更新 — WordPress Exploit Scanner は、WordPress コアファイルの改竄発見機能を持ったプラグインです。プラグインパッケージに含まれるファイル比較用ハッシュファイルは WordPress 英語版のみの対応となるため、下記より WordPress 日本語版用のハッシュファイルを提供いたします。 WordPress 日本語版用 Exploit Scanner ハッシュファイルのダウンロード WordPress 日本語版用ハッシュファイルの MD5: hashes-3.6.php の M
WordPress で二段階認証を可能にするプラグイン「魍魎」 - dogmap.jp
WordPress で、メールまたは SMS でワンタイムパスワードを発行して二段階認証ができるようにするプラグイン「魍魎」を公開しました。 「絡新婦」「狂骨」に続く、日本の妖怪シリーズ第三弾です。 現在、公式プラグインディレクトリに申請中ですので、気になる方は github のリポジトリから取得してください。 https://github.com/wokamoto/spirits-and-goblins 追記: 2013-06-24 WordPress 公式プラグインディレクトリでも公開しました。 Spirits and Goblins インストールして有効化すると、通常のログイン後にユーザのメールアドレス宛に送信されたワンタイムパスワードを入力しないとダッシュボードに入れなくなります。 送信オプションとしてはメールと SMS (ショートメッセージ) が選択できます。 「ショートメッセー
WordPressでパスワードもメールアドレスも知らないまま管理画面に入る | 高橋文樹.com | 雑記
この投稿は 11年 前に公開されました。いまではもう無効になった内容を含んでいるかもしれないことをご了承ください。 WordPressをお仕事でやっていると、わりと丸投げ感のある状態で渡されることがあります。よくあるパターンとしては「さくらインターネットとかから送られてくるサーバ設定情報のメールがそのまま送られてくる」という奴ですね。 僕はすぐ邪推する人間なので、こういうときは「前の人がバックレたか空中分解したかのどちらかだなー、やりたくないなー」と内心怯えつつ設定を確認していくのですが、まれにクライアントが管理画面へのアクセス権を持っていない上に、管理者のパスワードもメールアドレスもわからん、という状況があります。 こうなるとユーザーが作れなくて困ってしまうのですが、最悪FTPが使えればログインできるので、その方法を紹介します。 1. ログイン用スクリプトを作成 以下のような内容のファイ
【WordPress全ユーザー必読】最近のWPサイトに対する猛アタックの詳細と対策 - SEO Japan｜アイオイクスのSEO・CV改善・Webサイト集客情報ブログ
無料で資料をダウンロード SEOサービスのご案内 専門のコンサルタントが貴社サイトのご要望・課題整理から施策の立案を行い、検索エンジンからの流入数向上を支援いたします。 無料ダウンロードする ＞＞ 日本では意外とニュースになっていませんが、世界のネット業界で今最も話題になっている問題がWordpressサイトに対する世界的な猛アタック。日本語サイトへのアタックは少ないかもしれませんが、やられてからでは遅いのも事実。この記事を読んでWPサイトへのアタックに関する現状と対処法を確認しておくべし。 — SEO Japan ワードプレスのサイトに対する大規模な攻撃が継続的に行われている。この攻撃は以前から行われているものの、先週、大幅に規模が拡大していた。 ウェブ上では、この状況に関する議論が至るところで行われているが、次の2つの理由でこの記事を作成する必要があると私は感じた 1. このサイトのコ
信頼性の高いWordPressテーマを作るためのTheme-Checkのすすめ | Firegoby
以前の記事でテーマを作る際にはテーマユニットテストをしようねと書きましたが、実はテーマを作る際にぜひおすすめしたいテストがもうひとつあります。 今回の記事ではTheme-Checkというプラグインを使ったテーマの機能テストについてご紹介します。 Theme-Checkプラグインってなによ？ Theme-CheckプラグインとはWordPressで定められているテーマの品質に対するガイドラインに適合しているかどうかをチェックするためのプラグインです。 WordPress › Theme-Check « WordPress Plugins このプラグインの作者さんは、WordPressテーマレビューチームという聞いただけで怖そうなチームに所属している人たちで、公式ディレクトリでテーマを公開する前には必ずこのプラグインでチェックすることが義務付けられています。 公式ディレクトリに掲載しないから関
WordPress のセキュリティ: リスクを減らす5ステップ (Sucuri Blog より訳出) – わーどぷれすっ!!
いまだに訳し終わらない「WordPress の守りを固める」の中で再三にわたってオススメされているウェブセキュリティ関連のサービスや情報を提供している会社 Sucuri のブログ「Sucuri – Protect Your Interwebs」より、「WordPress Security: 5 Steps To Reduce Your Risk（WordPress のセキュリティ: リスクを減らす5ステップ ）」の翻訳と転載の許可をメールでもらったのでご紹介します。 This is the Japanese translation of “WordPress Security: 5 Steps To Reduce Your Risk” written by Dre armeda. 「WordPress のセキュリティにはどのプラグインを使うべきですか？」このような質問をよく聞くと思います。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
自動バックグラウンド更新の設定 - WordPress Codex 日本語版
mesiopress.com
新手のbotネット Fort Disco－多数のWordPressサイト等を既に汚染？ - Cyberlaw
不正ログインの攻撃はどこからきて、どんなパスワードを試しているか
How to Password Protect WordPress Admin (or Any) Apache Directory