初心者WordPressのピンバックによるDDoS攻撃が話題になっていますね。こちらの記事によると、なんと162,000!?もの正規のサイト(スパムサイトではない)がDDoS攻撃の踏み台に悪用されたという驚きの内容です。APIにより実装されており、3.5以上からはデフォルト有効になっています。INDEXXML-RPCとは踏み台対策プラグインやフィルタでXML-RPCを無効化htaccessでXML-RPCの使用を制限するXML-RPC使用に関する補足XML-RPCを無効にするとJetpackでエラーが・・・ブルートフォースアタックにも使われるXML-RPCXML-RPCとはXML-RPCとはリクエストをXMLでポストしてレスポンスをXMLで取得するための規格です。APIを使用すると管理画面以外から、記事投稿や編集などのいわゆるリモート投稿が行えるようになります。今回のDDoS攻撃ではこのXML-RPCを悪用してターゲットに大量のピンバック通知を送りつけるようです。踏み台サイトは世界中にいくらでもあるわけです。攻撃者はXML-RPCに向けてポストを投げるだけなので、身元を隠すことができます。Pingbackというプラグインで文字どおりXML-RPCを無効化できます。wp-config.phpやfunctions.phpでもadd_filterを定義することで無効化できると思います。→「WordPressのXML-RPCの設定見直し」htaccessでXML-RPCの使用を制限する以下でxmlrpc.phpにはアクセスできなくなります。all</Files>わたしはリモート投稿を使うことがあるため、指定のIPからしかXML-RPCを許可しないようにしてみました。実用的には微妙かもしれませんが、外出の際は指定IPアドレスのVPNを経由することでxmlrpc.phpにアクセスできます。APIを使用している場合は影響が生じる可能性があります。ブルートフォースアタック対策として管理画面のログイン自体も制限しているため、下記のように記述しています。最近のレンタルサーバではデフォルトインストールで海外からのXML-RPCへのアクセスは制限されている場合もあるようです。これまではデフォルトインストールで有効でしたが、あまりの穂以外の多さに今後は無効がデフォルトになってくるのかもしれませんね。「動作しない」という場合は実際の環境でのXML-RPCの使用許可をチェックしてみてください。多くのユーザーに使われているJetpackプラグインではXML-RPCが必要です。この場合は上記で紹介したhtaccessでの制限にホワイトリストを加えます。192.0.64.0/18</Files>Xserverなどではサーバパネル上のデフォルトの無効の状態でこのフィルタリングがなされているようです。XML-RPCへの海外からのアクセスは制限してもJetpackの海外IPは許可されるということです。知ってた?ヘテムルのWordPress簡単インストールではXML-RPCがオフになってる。いや、ほとんど必要ないのでセキュリティ上これでいいと思うんだけど...使いたい人はwp-config.phpのフィルタを削除。19ブルートフォースアタックにも使われるXML-RPCXML-RPCの悪用はDDoS攻撃だけではありません。従来のブルートフォースアタックはログイン画面でアタックを繰り返すわけですが、これをWordPressのxmlrpc.phpにログイン名とパスワードを送ることでその結果が正しいかどうかを判別するという手法もとられるようです。ブルートフォースアタックとして有効な手段のひとつは管理画面へのアクセス制限ですが、方法によってはこれでは防げきれないため、ログインURL自体の変更も検討するとよいでしょう。コメントをキャンセルメールアドレスが公開されることはありません。WordPressでは子テーマという機能があります。WordPressではコンテンツの更新情報を知らせるために標準でRSSを出力します。introductionウェブサービスの構築・集客コンサルティングをやっているR3098です。このサイトではWordPressの初級・中級ユーザーや集客に悩むウェブサイトオーナーに向けた情報を発信しています。