以下のサイトのセキュリティ検査を検討しています。http://evil.example.com/ご相談させて頂くことは可能でしょうか?などとします。更なる攻撃の実行セッションIDを盗めばブログの管理ページにアクセスできます。クロスサイトスクリプティングではたいした攻撃はできませんが、セッションIDさえ奪ってしまえばWordpressプラグインの中にはコマンド実行ができるものも多くあります。脆弱なプラグインをインストールしなくても、Wordpress自体からPHPスクリプトを編集できるかも知れません。この場合、直接バックドアなどを入れることができます。プログラムやコマンドでサーバーを自在に操れれば、カーネル脆弱性を利用した権限昇格などでサーバーを完全に乗っ取ることも簡単です。このような攻撃にどう対策するか?ここで紹介した攻撃シナリオは実際にあり得る攻撃シナリオです。クロスサイトスクリプティング脆弱性は数えきれないほど見つかっています。いった脆弱性がない、という前提の利用方法は危険です。HIDSやSnort脆弱性はできる限り早く修正する私はブラウザのプロファイルを使い分けています。メールとブログを管理するプロファイルは同じなので、もしメールに記載された攻撃用URLをクリックするとブログのセッションを盗まれる可能性があります。メールやSNSなどのURLは必ずシークレットモードでクリックするようにしています。これは信頼できるユーザーからでも同じです。アカウントの乗っ取りは犯罪者が攻撃によく利用している方法です。信頼できるユーザーからといって、無条件に信頼するわけには行きません。ブラウザ/プロファイルの使い分けはとても重要です。万が一攻撃に成功しても、ファイル改ざんは直ぐに検出されます。Kernel権限昇格でrootを取られても攻撃者が不信なネットワークパケットを送信しても直ぐに検出されます。ネットワーク構成を知ろうと内部ネットワークをスキャンなどをすると、寝ていても気づくレベルの警告になります。用心深い攻撃者ならネットワークのスキャンなどせず、辛抱強く受動的に情報収集して攻撃すると思いますが。いった方法で攻撃されたらマズい!という方は少なくないのではないでしょうか?重要なのでもう一度ブラウザ/プロファイルの使い分けはとても重要です。紹介エレクトロニック・サービス・イニシアチブのWebシステムのコンサルタントのブログです。PHPの開発、PHP4.x/5.xレガシーPHPセキュリティパッチサービスなどを行っています。ブログのサブタイトルを「書かない日記」としているのは、ブログを始めた時にあまり書かないつもりで始めたのでこのサブタイトルになっています。yohgaki@ohgaki.net私が記述したブログ中のコードは記載が無い場合はMITライセンスです。その他のコードは参考リンクなどのライセンス情報を参照ください。