野良人(のらんど)|大阪府堺市のWEB制作屋さん野良人とは制作事例ブログお問い合わせ【事例】WordPressサイト改ざんの復旧と対策を行いました2018/12/13WordPressセキュリティ技術ネタ改ざん被害にあったWordPressサイトの復旧と調査、再発防止のための対策を行いました。同様の被害にあわないために/被害にあってしまった人のために、事例を共有したいと思います。この記事が不正な改ざん等の被害を減らすお役立て頂けると幸いです。良い対策について知見があれば共有頂けると更に有難いです。WordPressサイト改ざん被害の内容サイトの全ページのヘッダに海外のアダルト系商品(バイアグラかなにか)のECサイトへのリンクが埋め込まれていました。以下のようなテキストが表示されます。下線部がリンクになっています(以下ではリンクはしていません)。partnersとかの部分と後半のリンク部分の組み合わせはランダムになっています。cher改ざん箇所:header.phpに悪意のあるコードを注入テーマファイルのheader.phpが改ざんされ、bodyタグの直後に以下のコードが追加されていました。?>ひとまず上記を削除し、その他の改ざんを受けていないかどうかスキャンしたり、可能な範囲でファイルを新しいものに置き換えるなどしてから最新版に更新しました。実際に改ざんを行ったとみられるログは以下のものです(一部加工しています)。header.phpのファイル更新日時と同じ日時なのでまず間違いないでしょう。管理画面からログインし、テーマエディターで編集しています。Safari/537.36"同じIPからのアクセスはこれ以外にないのですが、ログインは一発で成功しており、ログイン情報が漏洩していたと思われます。以下のように、ログイン画面に対するブルートフォースアタック(総当り攻撃)は毎日のようにくらっており、侵入の直前にも3000回以上試行されています。IPは別ですが、同一の攻撃者が踏み台か何かを使ってIPを偽装して攻撃を仕掛けて割り出したものではないかと考えています。Firefox/18.0"サイトの状態サイトは以下のような状態でした。ユーザーID:adminパスワード:ドメインからTLDとハイフンを除いたもの(例:example-domain.com→exampledomain)WordPressのバージョン:3.9.25(この時点での最新版は4.9.8)プラグインのバージョン:数年前のものIDとパスワードが短く推測されやすいものになっており、総当り攻撃に対する強度が不足していたと思われます。WordPressやプラグインが古い状態だったため、脆弱性をついた被害を受ける可能性がありました。WordPress本体やプラグインを最新版に保つ(自動アップデートを有効にする)IDやパスワードは推測されにくいものにする上記はWordPressに限らず基本的な対策ですが、これらが不十分だったために被害を受けたという事例もよく耳にするように思います。この記事をご覧の方に心当たりがあれば、今すぐアップデートやパスワードを変更することをお勧めします。以下は再度の改ざんを防ぐために実施した各種取り組みです。WordPressのCodexにも対応が紹介されており、参考になるのでぜひ一度目を通しておくとよいでしょう。既存のアカウントは攻撃者によって乗っ取られている状態なので、新しくアカウントを作成のうえ削除しました。新アカウントの作成にあたってはパスワードジェネレーターを使い、無作為に強度の強いものを作成しました。Plugin上記プラグインを導入して設定を行いました。レンタルサーバーでも標準でインストールされているなど、信頼性の高い国産プラグインで非常におすすめです。"Python-urllib/2.7"投稿者アーカイブのURLからログインIDが割り出せてしまうというのは有名な話で、サーバーログにもそちらへのアクセスは多数確認できました。このサイトでは投稿者アーカイブは使用していなかったので無効化して対応しました。公式ディレクトリにプラグインもありますが、数行の処理なので自前でプラグインにして追加してあります。自動更新の設定WordPress本体のマイナーアップデートは3.7くらい以降は自動ですが、加えてプラグインのアップデートを自動更新に設定しました。"-"使用していないデフォルトテーマに対しても様々なパターンでアクセスが試みられていました。リスクなだけなので、念のため全て削除しました。海外IPフィルタリングこれは提案中ですが、攻撃はほぼ100%が海外IPからのものなので、サーバーで提供されている海外IPフィルタリング機能の導入は効果的ではないかと思います。主要なレンタルサーバー会社各社では、管理画面から比較的手軽に設定できる機能を提供しているのではないかと思います。サーバーによっては、攻撃だけでなく通常のサイトの閲覧も制限されてしまったり、Googlebotも制限してしまうため検索結果に表示されなくなる、といった注意点もあるので確認が必要です。被害にあう前にセキュリティ対策と保守管理を以上、実際に発生したWordPressサイトの改ざん被害事例と、対応を紹介しました。現在は引き続き不正なアクセスを監視などを行っています。不正アクセスによる被害を受けてしまうと、企業イメージ・信頼感の毀損だけでなく、場合によっては個人情報や企業機密の流出など、調査・復旧の費用に加えて、事前の対策コストをはるかに超える対応コストが発生してしまいます。被害を受ける前に、「再発防止のための対策」で紹介した項目などを参考に、ご自身の管理されているサイトのセキュリティを点検して頂ければと思います。以下の記事でもほかの事例や対策を紹介しているので、参考になれば幸いです。WordPressサイト改ざん等の被害事例とセキュリティ対策お困りの場合は自分でセキュリティ対策を行うのは難しい、不安だという場合は、セキュリティ対策も対応できる制作業者に依頼しましょう。野良人でもWordPressサイトをはじめとしたセキュリティ対策を承っております。被害にあってしまった場合の復旧や調査も対応しておりますので、まずはお気軽にお問い合わせください。新免祥太1988年岡山生まれ。外食企業のWEB・EC担当を経験したのち、2013年12月より「野良人(のらんど)」の屋号で独立しWEBデザイン・プログラミングなどWEBサイト制作の工程全般を請け負っています。お気軽にご相談ください。大阪府堺市を拠点にしていますが、全国のお客様とお仕事をさせて頂いております。お気軽にお問い合わせください。Reserved.野良人とは制作事例ブログお問い合わせ。