偽のjQueryを利用した攻撃、「WordPress」「Joomla」を利用するサイトで急増
サイバーセキュリティ企業Avast Softwareの研究者らは、ハッカーが「jQuery」というJavaScriptのライブラリを悪用し、オープンソースのコンテンツ管理システムである「WordPress」や「Joomla」を利用している数多くのウェブドメインに悪意のあるコードを注入していると警告している。 Avastによると、ウェブサイトに偽のjQueryを注入するというインジェクション攻撃がこのところ活発化しているという。同社ブログには、ある攻撃手法が過去数カ月で急増しており、その攻撃においてWordPressやJoomlaを使用しているウェブページのheadセクション内に、偽のjQueryスクリプトを注入するという手段が用いられていると記されている。その結果、ハッカーの手に落ちたドメインや悪意のあるドメインによる感染の巣が生み出されている。 研究者らによると、ハッカーの手に落ちたウェ
WordPressの侵入対策は脆弱性管理とパスワード管理を中心に考えよう
この記事はWordPress Advent Calendar 2015の7日目の記事です。 今年初めてWordCamp Tokyoにて講演の機会をいただき、WordPressのセキュリティについて話しました（スライド）。そこでもお話ししましたが、WordPressに限らず、Webサイトへの侵入経路は2種類しかありません。それは以下の2つです。 ソフトウェアの脆弱性を悪用される 認証を突破される したがって、侵入対策としては以下が重要になります。 全てのソフトウェア（OS、Apache等、PHP、WordPress本体、プラグイン、テーマ等）を最新の状態に保つ パスワードを強固なものにする 以上! と叫びたい気分ですが、それではシンプル過ぎると思いますので、以下、WordCampでお話した内容とリンクしながら、もう少し細く説明したいと思います。 全てのソフトウェアを最新の状態に保つ Word
WordPressの不正ログイン対策の数々！諸先輩方に学ぶ(^^)/ - マネー報道 MoneyReport
WordPressのログイン防御 WordPressで作ったWebサイトの本格運用に向けて、WordPressを外部攻撃から守るためのセキュリティー向上策を調べつつ施している真っ最中です。 昨日はログイン画面をガードして不正アクセス防止対策を施しました。 いかんせんワードプレス初心者なもので、的外れの部分もあったかもしれませんが、色々なサイトで紹介されている不正ログイン対策で良さそうな対策で、かつ必要最低限で運用は楽なものを選んで導入してみました(^-^)w セキュリティ対策でガードが硬くなったのはよくても、「運用が面倒臭いのはいやだな～」というのがあったので、その辺のバランスを考えてチョイスしてみました(^-^)w ただ所詮、ワードプレス初心者なのでツッコミどころが多かった様で、多数のブコメを頂きました(^o^; 「他にもこんな対策もあるよ！」 という点で非常に有用なアドバイスが多かった
３年程運営していたwordpressのブログがウイルス感染して一瞬で消滅した : 宇佐美典也のブログ
宇佐美典也のブログ 宇佐美典也（うさみのりや）です。1981年、東京都生まれ➡暁星高校➡東京大学経済学部➡経済産業省➡ブロガー・ニート➡再生可能エネルギー業界の端っこ（今ココ）なにかあればinfo@unyconsulting.comまでご連絡を。 お問い合わせ プライバシーポリシー 個人情報保護方針 去る2015年9月19日、サーバーを借りているlolipopから通知が有りまして３年間程運営していたブログがウイルス感染のためあっけなく閉鎖することになりました。 9月15日頃にいわゆるボットが発動したものと思われ、私が借りていたサーバーから大量にSPAMメールが撒かれていたようです。以下9/15から9/16にかけてlolipopから通知があった撒かれたスパムメールの件数です。 （9/15 ） 21:39 ➡ 314通 22:12 ➡ 335通 23:09 ➡ 306通 （9/16） 0:18
「WordPress」に不正コードの挿入につながる脆弱性--多くのサイトに影響
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます オープンソースのブログプラットフォーム「WordPress」のプラグインに脆弱性が発見された。この脆弱性によって数多くのウェブサイトが危険にさらされている。研究者らによると、この脆弱性を用いればウェブサイトに悪意のあるコードを挿入することが可能になるという。 この脆弱性は、画像表示に用いられる「Fancybox」という人気プラグインに存在していた。セキュリティ企業Sucuriの研究者らによると、悪用すれば脆弱性を抱えたサイトにマルウェアやその他のスクリプトを追加できるようになるという。 研究者らは「このプラグインは深刻な脆弱性を抱えていることが確認できた」「この脆弱性は実際に広い範囲で悪用されており、多くのウェブサイトが影響を受けている
復旧完了！WordPressサイトがマルウェア（ウィルス）に感染し、Googleからアクセス拒否、レンタルサーバーからウェブアクセス凍結のお知らせ。 - Swingin' Thinkin'
ブログやウェブマガジンを運営している方にとって「Google Adsenseの停止」は、広告収入がストップしてしまう恐ろしい事態かと思います。しかし、僕は先日、そんなものは「子供だまし」に思えるほどの衝撃を食らいました。 なんと、自分が運営しているサイトにアクセスできない！ Safariでアクセスすると「警告：このサイトに移動すると、コンピュータに危害が加えられる可能性があります」と表示。 Google Chromeでも同じように、「アクセス先のサイトで不正なソフトウェアを検出しました」とシャットダウン！ ガクガクブルブル……。 さて、今回の記事は専門的な内容になります。「WordPressサイトを運営中の方」「利用を検討している方」「トラブル中の方」へ向けて書きますので、興味ある方のみどうぞご参考に。 Googleからのアクセス拒否！を、解決。 レンタルサーバー（Xsever）からのウェ
ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]
WordPressのセキュリティ設定に関するブログ記事は山ほど見かけますが、今回はよく発生する改ざんについて「効果が高い」「比較的カンタンに出来る」「費用がかからない」という視点でピンポイントに対策したいと思います。 不正アクセスの目的と手口 そもそも何が目的で不正アクセスをしようとしてくるのか？ 自分も含めいろいろな改ざん報告を見ると、 改ざん者が関連しているウェブサイトへ誘導するスクリプトをこっそり書いていく 投稿の本文の文中にサイトへの誘導リンクを書き込む メールを自動送信するプログラムが書いてあるファイルをテーマディレクトリ内に置かれる というケースが多いようです。 効率良く改ざんするための手順 それでは、上記の事を達成するのに効率が良いのはどんな方法か？ 現実的に考えて、人間が手動で一つ一つのサイトにハッキングを試みるのはどう考えても効率が悪いです。そんな事をするくらいなら時給で
![ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]](https://cdn-ak-scissors.b.st-hatena.com/image/square/f766f5261227a22c288258afdfb88c6481b833da/height=288;version=1;width=512/https%3A%2F%2Fbizvektor.com%2Fwp-content%2Fuploads%2Fsec1-1024x538.jpg)
WordPress、深刻な脆弱性を修正 XSS攻撃の恐れ
WordPress 4.0.1ではXSSの脆弱性などが修正された。悪用された場合、Webサイトをハッキングされたり、クロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛けられたりする恐れがある。 ブログ作成ソフトの更新版となる「WordPress 4.0.1」が11月20日に公開された。クロスサイトスクリプティング（XSS）などの深刻な脆弱性が修正されており、ユーザーに対して自分のWebサイトを直ちに更新するよう呼び掛けている。 WordPressのブログによると、WordPress 4.0.1では3件のXSSの脆弱性を含め、計8件の脆弱性を修正した。悪用された場合、Webサイトをハッキングされたり、クロスサイトリクエストフォージェリ（CSRF）攻撃を仕掛けられたりする恐れがある。脆弱性は3.9.2までのバージョンに存在する。 更新版は、自動更新を有効にしていれば自動的に配信される。脆
WAF除外ルールも作れるWordPressセキュリティプラグイン「SiteGuard WP Plugin」
普及率が高いぶんクラッカーから狙われやすいWordPress。セキュリティを高めて自衛しておきたいところですが、そんなセキュリティを高めるのにかなり良さげなプラグインがリリースされました。その名も「SiteGuard WP Plugin」。 WAF製品を提供しているJP-Secure社がリリースしたプラグインで、セキュリティ向上のための機能を複数持っています。 「SiteGuard WP Plugin」の持つ機能 「SiteGuard WP Plugin」は以下の機能を有しています。 管理ページアクセス制限ログインページ変更画像認証ログイン詳細エラーメッセージ無効化ログインロックフェールワンスピンバック無効化WAFチューニングサポート 1〜7までの機能は類似プラグインや、他の単一プラグインなどで導入することもできますが、8のWAFチューニングサポートはこのプラグインならではの機能だと言えま
WordPress の安全性を高める - WordPress Codex 日本語版
WordPress ではセキュリティを非常に重要なものと考えています。しかし、他のどんなシステムでも同様ですが、基本的なセキュリティ対策がなされていない場合には問題が発生する可能性はあります。このページでは、よくある脆弱性について、そして WordPress を安全に保つためにできることを紹介します。 このページはセキュリティに対する心配を一掃するその場限りの応急措置とは違います。特定のセキュリティ問題や不明な点を抱えている場合は、コンピューターセキュリティの知識を十分に持っている信頼のおける人ときちんと話し合うべきです。 セキュリティとは 基本的には、セキュリティとは「完璧に安全なシステム」のことではありません。そのようなものは実用的ではないか、見つけたり運用したりするのは不可能といえるでしょう。セキュアなサーバーは、サーバー管理者のコントロールのもとに、リソースのプライバシー・整合性・
WordPressをXSS攻撃から守るために最低限実施しておきたい対策について | 株式会社LIG(リグ)｜DX支援・システム開発・Web制作
9月19日 10:30 ※19:00更新 LIGブログ寄稿ライターによる当記事につきまして、読者の方からいくつかのご指摘を受けました。 記事内で不正確な表現を使用していたため、内容に誤りがありました。一度記事を取り下げ、記事内容を精査・修正いたしましたので、再掲載させていただきます。大変申し訳ありませんでした。 引き続き、情報の精度向上に努めて参りますので、よろしくお願いいたします。 LIGブログ編集部 どうもコンニチワ……モリイです。夏場の暑さをなんとか乗り切り、すっかり気が抜けてしまっている今日この頃です。すみません、愚痴ってしまいました。 さて、XSS攻撃による被害がかなり増えています。もはや他人ごとではなく、明日あなたが管理しているサイトがXSS攻撃されてもおかしくないレベルで被害は拡大しているのです。 実際、本業ではWordPress専用のセキュリティ診断サービスを運営している私
ワンコイン程でWordPressを毎日自動バックアップ。VaultPressを導入してみた。 | デザイニングラボ
こんにちは(*´∀｀) 午後はクソネミですが頑張りましょう！ てなわけで、くっくる（@kuck1u）です。 突然ですが、みなさん…WordPressのバックアップどうしてます？ WP-DBManager、BackWPupとかが有名所なんですかね？ 某レンタルサーバーではデータやファイルが全て無くなってしまったり、某レンタルサーバーでは突然ファイルが外部の何者かに書き換えられてしまったり…などなど。 何があるか分からない世の中ですね。 ホント、世知辛いといいますか、ホントね。 VaultPressとは？ ようやく本題です（笑） WordPressを作ったAutomatic社の有料サービスに、VaultPressというサービスがあります。 WordPressのプラグインJetpackを利用している方は、機能一覧を眺めているとVaultPressというのが目につくので、ご存知の方多いかも
セキュリティ対策まとめ（2013年秋）
JOJOのアニメ第三部が正式に決まったそうですね！ 楽しみ～な、にわかファン Latin です。 最近のWordPress界隈ではAmazon Web Serviceが俄然盛り上がっておりますが、大好きなWordPressを守るため、セキュリティ対策をまとめてみました。 初期セットアップ・設定系の対策 データベースのプレフィクス（接頭辞）を変更する wp-config.php 内の「wp_」の接頭辞を任意のものへ変更します。 その場合、追加で以下の作業が発生します。 phpMyAdmin などを使い、データベースのテーブルネームを変更したカスタムプレフィクスに変更する。 options や usermeta テーブルなどの他のフィールドでも「wp_」プレフィクスが使われている可能性がある為、以下のクエリーを走らせてプレフィックスを変更する。 SELECT * FROM `myprefix_
WordPressをStaticPress+Amazon S3+Vagrantでセキュリティ万全にする方法 [前編] - @masuidrive blog
最近、大規模なWordPressのサイトの乗っ取りが発生しました。今回の原因はWordPressではなくサーバの設定に問題があったようですが、LAMPサーバの設定を正しく行うのは難しいですし、ApacheやPHP、WordPressのバージョンアップをきちんと行っていくのは、結構大変です。 自分でサーバを運用していて、セキュリティ対策をきちんとしていると言える人は、実はあまり多くないのでは無いでしょうか？プラグインなどを複数導入している場合には、それらのプラグインのセキュリティ対策を行うのはかなり難しいといえます。 そんな中、高セキュリティ環境でWordPressを運用する方法はないのか考えてみました。それにはサーバ上でアプリを動かさないのが一番では無いでしょうか？ 私のブログであれば、Voteなど動的な機能は使っていないので、WordPressのデータから静的なHTMLを生成して、Ama
![WordPressをStaticPress+Amazon S3+Vagrantでセキュリティ万全にする方法 [前編] - @masuidrive blog](https://cdn-ak-scissors.b.st-hatena.com/image/square/5c5c3e4330805bfc33fc80aa0e5843be18a0177d/height=288;version=1;width=512/http%3A%2F%2Ffarm1.staticflickr.com%2F6%2F5961468_60d27d4dde_m.jpg)
WordPressのプラグインのセキュリティについて、少し真面目な話をします。
WordPressのプラグインのセキュリティについて、少し真面目な話をします。 2013.07.12 | 考える。 セキュリティ ども、最近でしゃばりすぎじゃないかという噂もあるブルーです。ヴァイオレットさんが書いた記事「なぜexec-PHPがモテるのか」も多少火種になりまして、TwitterやFacebookの観測範囲では、Exec-PHPプラグインについての様々な話題が挙がっていたように思います。このプラグインは、WordPressの投稿画面では、通常PHPのプログラムコードを入力してもセキュリティの観点から削除されますが、それを削除せず、表示の際にコードを実行するというプラグインです。 あえて個別を取り上げることはしませんが、個人的に気になったのは、危険性を啓蒙する記事の一方では、下記のような意見を持つ方も多そうだということです。 「上級者はセキュリティについてもよく分かってるっぽい
WordPressのセキュリティ対策に2要素認証を使う : candycane development blog
WordPressのログインフォームへの攻撃が問題になっているみたいですが、ユーザー名とパスワードだけの認証という方式自体を見なおしてみるという方法があります。具体的にはユーザー名とパスワードに加えてスマートフォンに表示される認証コードを入力してログインする2要素認証がWordPressでも利用できます。 利用するには下記のプラグインを使います。 WordPress › Google Authenticator « WordPress Plugins また下記のアプリケーションをスマートフォンにセットアップしてください。 Google 認証システムのインストール – Google アカウント ヘルプ プラグインを有効にするとアカウントごとのパスワード設定ページにアプリに読み込ませるQRコードが出てくるのでこれをアプリでスキャンします。またこの認証を使うかどうかはアカウントごとに有効かど
WordPressへの不正アクセスログを記録して見せてくれるプラグイン Crazy Bone
WordPressへの不正アクセスログを記録して見せてくれるプラグイン Crazy Bone 2013年05月11日 17:54WordPress 実際つかってみたら、面白いくらい大量に釣れた。 WordPress を狙ったブルートフォースアタック 最近、WordPress の admin ユーザーを狙った ブルートフォースアタック（総当たり攻撃）がよく話題になりますね。 WordPress へのブルートフォースアタック対策: パスワード強化 – ja.naoko.cc 要するに、ID とパスワードの組み合わせを 片っ端から総当たり式に試してみるという攻撃。 特に WordPress 3.0より前は デフォルトの管理ユーザー名が admin だったので、 admin という名前のユーザーがいると想定して それに対して大量の総当たり攻撃を仕掛けている輩がいるようです。 Crazy Bone
セキュリティ向上の為にwordpressのadminユーザー名とパスワードの変更する方法
2013年5月1日としかわ コラム セキュリティ向上の為にwordpressのadminユーザー名とパスワードの変更する方法 9 「ブルートフォースアタック」というものご存知でしょうか？ 日本語では総当り攻撃と呼ばれるパスワード解析方法の一つで、「全ての組み合わせを試して正解を探す」という力技です。 例えば自転車のチェーンなんかで、0～9の数字が4ケタあるものがありますよね。 これは理論上10の4乗、10000通りの組み合わせをひたすら試せば開きます。 「人間はめんどくさいのでそんなことやらない」からこそあの鍵は有効なのですが、コンピュータは凄いスピードで延々と次の組み合わせを試します。 時間さえあれば必ずパスワードを見つけることができる、疲れを知らないコンピュータだからこそ出来る方法ですね。 （例え時間と体力があっても他人の自転車の鍵を開けようとしてはいけません） WordPressへの
【WordPress全ユーザー必読】最近のWPサイトに対する猛アタックの詳細と対策 - SEO Japan｜アイオイクスのSEO・CV改善・Webサイト集客情報ブログ
無料で資料をダウンロード SEOサービスのご案内 専門のコンサルタントが貴社サイトのご要望・課題整理から施策の立案を行い、検索エンジンからの流入数向上を支援いたします。 無料ダウンロードする ＞＞ 日本では意外とニュースになっていませんが、世界のネット業界で今最も話題になっている問題がWordpressサイトに対する世界的な猛アタック。日本語サイトへのアタックは少ないかもしれませんが、やられてからでは遅いのも事実。この記事を読んでWPサイトへのアタックに関する現状と対処法を確認しておくべし。 — SEO Japan ワードプレスのサイトに対する大規模な攻撃が継続的に行われている。この攻撃は以前から行われているものの、先週、大幅に規模が拡大していた。 ウェブ上では、この状況に関する議論が至るところで行われているが、次の2つの理由でこの記事を作成する必要があると私は感じた 1. このサイトのコ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
WordPressのログイン・管理画面にBasic認証をかけるプラグイン「WP Admin Basic Auth」を作りました
