今回物騒なタイトルですが、これ本当です。ノウハウツリー管理人が運営しているとある別サイトのお話でがこのプラグインがクラックされてサイトにアクセスすると別のページにリダイレクトされるという被害が出てました。関連記事を表示するプラグインとしてyuzo-related-postを入れていたのですが、このプラグインにセキュリティ上の脆弱性があり、サイトにアクセスすると他のサイトに飛ばされるというちとやばいことになってました。index.phpや.htaccessが書き換えられたのかな?とWinSCPで接続して直接ファイルをのぞきましたが、それ自体は書き換えられていませんでした。アンインストールしましょう。これがその問題のプラグインです。Zapataとなっています。yuzo(ゆうぞう)という名前はどこにも表示されていません。右側のプラグインのサイトを表示をクリックするとこんな感じのページが表示されます。インストールしている人は危険なのでマジで速攻消しましょう。幸いな事にもWordPressの管理画面には問題無く入る事が出来ます。Postsを無効化して削除すれば問題解決します。yuzo-related-postを入れてクラックされるとどうなるか?このプラグインの脆弱性の為にサイトにアクセスすると何サイトもリダイレクトされてページが飛ばされます。postsのプラグインが入った状態でサイトにアクセスするとhttps://hellofromhony.com/goawy?temp=777&にリダイレクトされます。よってWindowsシステムが古くなり破損していることが検出されました。指示にしたがってすぐ修正してください。いう完全にマルウェアに感染させようという魂胆丸見えのページに誘導されます。ブラウザのタブを閉じてしまいましょう。XSを受け取っていただくために無作為に選択されています。弊社では時々、一部のGoogleユーザを選択し、弊社パートナーやスポンサーからの有益なプレゼントを受け取っていただける機会を差し上げています。これは、あなたが優先して利用する検索エンジンとしてGoogleを選んで下さったことに対するお礼です。今日はあなたにとってラッキーは1日です!無作為抽選により、このプレゼントを受け取っていただける10名のひとりとして、あなたが選ばれました。これを受け取るには、この短い無記名アンケートにお答えください。不満この様にGoogleを装った偽ページが表示される事があります。こんな症状が出た時は結構焦りましたwてっきりサーバのroot権限までクラックされてしまったのかと思ったのです。便利なプラグインでこれまで使っていましたが、クラックされる様な脆弱なプラグインは使うべきではありません。ノウハウツリーの管理人コメントするTweet2019年3月時点で個人的に気に入っているワードプレスのテーマはAstraです。デザイン・使い勝手も含めていい感じです。Nineteenよりも断然良いです。備忘録として、個人的なメモを残しておきます。Astraというクレジット表示が見つかりませんでした。Fileというプラグインをインストールしました。このプラグインをインストールすると、簡単にテーマがどのファイルで構成されているのかを簡単に探す事が出来る様になります。ここでは、Astra(アストラ)が使用しているPHPファイルが簡単にわかります。クリックするとそのまま編集画面に移動する事が出来ます。);$section_2の中にクレジット情報が文字列として格納されていたので、それをコメントアウトする事で非表示に成功しました。クレジットは消さずに使ってあげてください!あくまでも知識としてメモっておいた次第です。7のプラグインを入れて問い合わせフォームを作っていました。その時に奇妙な出来事が起こりました。Cromeで実行すると失敗してしまうのです。表示されたエラーエラー内容メッセージの送信に失敗しました。間をおいてもう一度お試しいただくか、別の手段で管理者にお問い合わせ下さい。スマホのSafariなどでは正常に動作するのになんでCromeでは失敗するの???頭の中が混乱しましたwそこで開発者ツールでJSなどでエラーが出ていないか確認したところ、JSでエラーが出ていました。JSというプラグインの中でオリジナルのJSコードを記述していたのですが、それがエラーを起こしていました。深く追いかけていないので自前のJSエラーと今回のコンタクトフォームのメール送信エラーの関係はまだはっきりは分かりません。ContactFormを設置したページではそのJSファイルを読み込まない様にしたところ正常に動作する様になりました。PluginsCaptchaなどを入れていました。いっていい程スパム投稿が減りませんでした。これらのプラグインもスパム投稿対策プラグインとして広く一般的に知られており有名ではあります。実際に使ってみたところいまいちでした。画像認証を人力で突破されまくりだからです。これらのプラグインも画像認証になっているのでコンピュータプログラムによる自動投稿ではありません。スパム投稿がされてしまっていたのでしょうか?調べてみたところなんとこれらのスパム業者は、バングラディッシュやインドの農村部など人件費の安いエリアで、低賃金で雇われた人間が手動(目視)でコメントスパムを行っている為です。その為、数字やアルファベットの画像認証が簡単に突破されていたのです。FaceBookのいいね!やYouTueの動画再生数の水増しなどもこれらの海外の業者が手動で行っている様です。いいね!工場とも呼ばれていますwでは、WordPressの手動スパム投稿をどうすればブロックできるのか?業者が手動でコメントスパム投稿を行っている以上、単純(数字・英字)な画像認証を入れたとしても効果はほぼありません。海外のスパム業者が人を雇って人力で投稿している為です。その対策として有効なのは、日本語文字列が画像認証として表示されるプラグインを導入する事です。日本語画像認証のプラグインは、日本語なので日本人であれば目視・手動でコメントスパムを行う事が可能です。バングラディッシュやインドとは違って日本の人件費は最低でも時給1,000円はかかります。日本でそんなスパム投稿を業者が仮に行ったとしても、日本では赤字になります。よって日本語プラグインを入れさへすれば海外からのスパム目視(人力)投稿をブロックする事が出来ます。Pluginこのプラグインを入れるとOKです。画像認証コードがひらがなで表示されます。海外のスパム業者にしてみてもいちいち日本語キーボードに切り替えた上でスパム投稿を行おうとすると非常に効率が悪いです。いった低賃金で単純作業を行っている人間自体、そもそも日本語を読めない人が大半です。海外スパム業者がスパム投稿をするのは数字と英字の画像認証コードだけです。Pluginをインストールするとスパム投稿をブロックする事が出来て良いのですが、余計な機能としてWordPressの管理画面のURLまで変更されてしまいます。変更を保存をクリックします。パスワードに英数字混在の長い文字列を設定している場合には量子コンピュータでも出来ない限りまず突破されないのでOFFにしておいた方が何かと便利です。英数字混在で30桁以上を設定しておけばまず安心です。Pluginで日本語画像認証を入れた画面です。44というエラーが出ました。バグのあるプラグインを作者がリリースするとも思えず色々と調べてみたら、この原因はレンタルサーバーで使用しているPHPのバージョンが古い事が原因でした。postsも同様のエラーが出てしまいます。現行で既に古いPHPで動いているWEBサービスがあった為、PHPのバージョンを上げるのは正直迷いましたが、上げてみたところ今のところ問題はありませんでした。さくらインターネットでPHPのバージョンを変更する使っているレンタルサーバーがさくらインターネットの場合、簡単にPHPのバージョンを変更する事が出来ます。サーバコントロールにログインします。画面左にあるPHPのバージョン選択をクリックします。PHPのバージョン選択PHP言語の設定変更はすべて【上級者向け】です。言語に関する仕組みが理解できない場合は、利用をご遠慮ください。PHPのバージョンを選択できます。「推奨」のまま利用し、変更を行わないでください。いう画面が右側に表示されます。新しいバージョンのプルダウンより標準のPHP[PHP5](推奨)を選択し変更をクリックします。7.1もありますが、何等かのバグがありそうで怖いのであえてこれは選択しませんでした。PHP5.6[標準のPHP」(CGI版)に変わります。postsのプラグインがエラーが出る事も無く最新版になりました。WordPressでプラグインをアップデートした時に今回の様なエラーは他のプラグインでも十分に起こりえます。その他のWEBサービスを運用している場合、DB/スクリプトなどのバックアップをきっちり取った上でプラグインの更新をする様にしましょう。いったトラブルシューティング方法がネットで検索してもヒットしないのでメモっておきました。ノウハウツリーの管理人コメントするTweetカスタムCSSの必要性WordPressは非常に便利なコンテンツ管理システムです。使っているうちにCSS(スタイルシート)を色々とカスタマイズしたくなる事も多いと思います。通常であれば利用しているテーマ(Theme:正しい発音はスィーム)のstyle.cssを直接いじったりする訳ですが、そうするとテーマがアップグレードされた場合に折角カスタマイズしたスタイルが全てパーになってしまいます。そんなトホホな状況にそんな事にならない為にカスタムCSSを使える様にしておいた方が良いです。テーマによっては最初からカスタムCSSが使える物もある様です。無い場合には、以下手順でプラグインをインストールしておきましょう。カスタムCSSと呼んでいるのは自分オリジナルのスタイルシートを定義したCSSファイルを作成し、テーマ付属のstyle.cssに一切手を加える事なくオリジナルのスタイルを適用するという意味合いです。説明が難しいですが何となくイメージが沸いたでしょうか。すると自動でプラグインが絞り込まれます。プラグインがヒットするので今すぐインストールをクリックします。インストールが完了したら有効化をクリックします。設定をクリックします。codeをクリックします。定義するカスタムCSSにタイトルを付けます。名前は何でもかまいません。英数字で分かり易い名前を付けると良いでしょう。ここでは、custom_css_test.cssと入力しました。下枠にCSS(スタイルシート)を定義します。typeでCSSの反映場所の切り替えが出来ます。ここでは、internalにチェックを入れて更新をクリックします。カスタムCSSを反映した上で任意のページを開くと、<head>タグの中に定義したCSSが出力されている事が分かります。Fileにチェックを入れ更新をクリックしてみます。Fileを選択すると外部ファイルにCSSが定義されている事が分かります。Fileにしておいた方が良いでしょう。WordPressの管理画面に適用という意味です。Thirteen」において、記事ページに表示されるカテゴリーやタグ、投稿日といったメタ情報の表示位置を変更する方法をご紹介します。2.1」においてのものです。変更する方法はいたって簡単です。「content.php」ファイルにある以下の部分を、表示させたい部分へ移動させるだけです。–>私は記事ページ上部に表示されていたメタ情報をページ下部へ移動させたかったので、もともと「content.php」ファイルのheader内にあった上記の部分を、同じ「content.php」ファイルのfooter部分(下記)の上に移動させました。書籍の目次の様に記事の中に見出しを作成する事が簡単に出来ます。機能が色々とあるので自分用にメモしておきます。使って生成した目次を表示するかを設定します。最初の見出しの前(デフォルト)で良いでしょう。Plusでレンダリングするかを指定します。デフォルトでは4ですが2にしておきます。見出しテキスト目次の上にタイトルを表示にチェックを入れます。目次ユーザによる目次の表示・非表示を切り替えを許可にチェックを入れます。閉じる番号振り目次の見出しの先頭に番号を振る必要が無い場合には、チェックを外します。一記事の中に複数の見出しがある場合には番号があった方が整理されていて分かりやすいと思いますので、入れておいた方が良いでしょう。スムーズ・スクロール効果を有効化アンカーリンクにジャンプではなくスクロールするにチェックを入れると、目次見出しをクリックした時にその位置までスクロールして表示されます。チェックを入れなければ、目次タイトルをクリックするとその位置まで一度に移動します。ノウハウツリーの管理人コメントするTweetWordPressの標準ではクオーテーションマークは全角で表示されるWordPressでは、シングルクオーテーション「‘」やダブルクオーテーション「“」を入力して記事を書いて保存した場合、表示した時に全角で表示されてしまいます。通常の日記などではこれらのクオーテーションマークを使う事はありませんが、よく使うSQLやプログラムをWordPressで記述するとコピペが出来なくなってしまい効率が悪いです。そんな場合には、以下の手順を踏む事によって、半角のシングルクオーテーション・ダブルクオーテーションで表示する事が出来ます。いう訳でこれも重要なのでメモっておきます。>(画面右側に)テーマのための関数(function.php)があるのでそれをクリックします。function.phpにずらずらと既に定義済の色々なphpコードがあります。コードの一番下に移動して次のコードを入力してファイルを更新をクリックします。//半角クオーテーションで表示する。‘wptexturize’);これでシングルクオーテーション・ダブルクオーテーションで正常に表示できる様になります。ノウハウツリーの管理人コメントするTweetWordPressに設定したデータベースのパスワード確認は意外と簡単さくらインターネットにWordPressをクイックインストールしたのですが、その時に設定したDBのパスワードが分からなくなってしまいました。さくらインターネットのサーバーコントロール画面に入ってもDB名、DBユーザ名までは見えますが、設定したパスワードはマスクがかかっていて見えません。いやーまいったなーと思っていて調べてみたところWordPressのインストール時に設定したDBパスワードを確認する方法が見つかったのでメモっておこうと思います。DBパスワードの確認方法WordPressをインストールしたディレクトリにwp-config.phpというファイルがあります。このファイルを開きます。WinSCPで開こうとすると文字化けしてしまう場合には、ローカルに一旦ダウンロードしてさくらエディタなどで開きましょう。‘XXX‘);この様な定義があります。XXXがDBに設定したパスワードになります。→あらゆるノウハウを完全網羅しているサイトです。