WordPressさて今回のWordPress改ざん騒動、皆様は無事でしたか?今回の改ざんはロリポップ、GMOサーバー内に構築しているWordPressがターゲットだったようですね。WordPressがターゲットになったのか。利用者多いから、流行ってるからだと思います。ロリポップの安さゆえのユーザーの多さ、初心者の多さなのかな?と推測。今後、こういった被害にあわないためにWordPressのセキュリティについてまとめてみました。ユーザー名、パスワードの強化まずはユーザーIDに「admin」「ドメイン名」は使用しない。お馴染みのブルートフォースアタックでパスワードを解読されるのは時間の問題です。ブルートフォースアタックとは力づくでユーザー名、パスワードの総当たり攻撃のこと。ユーザー名はadminでパスワードを総当りするブルートフォースアタックもあるようなので注意が必要です。ドメイン名をユーザーIDで使用すると、これも推測されやすいのでアウト。オレユーザーIDはadminでもドメイン名でもねーし。」って方も実は注意が必要。WordPressで記事を書いた際に表示される投稿者。これはデフォルトでユーザー名を表示する設定になっています。admin以外のユーザー名にしてても投稿記事を見れば簡単に分かってしまいます。ブログ上の表示名」を変更しておきましょう。パスワードはもちろん推測されにくいパスワードにする。強度インジケータが「強力」になるようなパスワードにしましょう。面倒臭がって簡単なパスワードにすると後が大変です。デフォルトのadminを別のユーザーIDに変更する方法と言ってもユーザー名の変更はできません。管理者アカウントをもう1つ作って、新しい管理者アカウントでログインし、adminを削除しましょう。※必ず権限は「管理者」にしてください。※adminのものとは別のメールアドレスが必要です。プラグインを使うブルートフォースアタックから身を守るためのプラグインのご紹介。Attemptsログイン失敗回数が一定に達したらそのIPアドレスからのログインを一定時間ロックするためのプラグインです。日本語化もされていますので、ありがたく利用させていただきましょう。Logはこんな感じです。見事に「admin」「makurazaki(ドメイン名)」が全部です。その他、ログインを指定IPからだけに制限するプラグイン等もあるようですが、ノマドな方々にはオススメできませんしルータリセットでIPなんてすぐに変更になるので実用的ではないかな?と思います。wp-config.phpを守るご存知の通りwp-config.phpにはデータベースに関する情報が記載されています。これを守ってあげなければ元も子もないですね。対策としてはパーミッションの変更。サーバの仕様のよって違いますが「404」「444」を指定する。※ご自分のサーバに合った設定にしてください。「簡単インストール」などのレンタルサーバに付属しているサービスを利用したりするとwp-config.phpのオーナーが「Apache」になっていることがあります。これはアナタにパーミッションの変更の権限がない状態なので変更ができません。その場合は、一旦ローカルにwp-config.phpをダウンロードしておいてサーバ側のwp-config.phpを削除してダウンロードしておいたwp-config.phpをアップロードするとパーミッションの変更が可能になります。.htaccessで守るルートディレクトリにある.htaccessに以下の内容を追記することでwp-config.phpを保護することができます。all</files>ルートディレクトリに.htaccessがない場合はテキストエディタ等で作ってください。まとめ以上がボクが当ブログでやってるセキュリティ対策の一部です。今回身近で2件の被害があり(どちらもロリポップ)対応させていただきましたが、一番問題だったのはロリポップだとDBのパスワードを変更しても古いパスワードが生きているということ。何度、変更しても古いパスワードでDBに接続されてしまうという摩訶不思議なことがおきまして調べてみたらそういうことでした。これじゃパスワード変更する意味なくね?と憤りを覚えてしまいました。SSHでDBを直接いじることも可能みたいですが、ボクには敷居が高すぎて断念・・・。まーしかし、ロリポップ側もそこは対応してくれるみたいなので少し安心しました。ご連絡させていただきましたとおり、ロリポップ!レンタルサーバー上にある全てのWordPressで使用しているデータベースのパスワード、および該当するデータベースを使用しているCMSの設定ファイル上のパスワードの書き換えを順次実施しております。書き換えが完了したお客様につきましては、別途メールにてご案内を送信させていただいております。「当社サービス「ロリポップ!レンタルサーバー」ユーザーサイトへの第三者による大規模攻撃について」(ロリポップ)「改ざんされたサイトの復旧方法について」(ロリポップ)今回の改ざん騒動は、便利が故の落とし穴的なところがあったのかな?と思います。CMSって便利ですけどWordPressのようなオープンソースだと仕組みが丸裸なわけですから悪さしようと思えば・・・ですよね。初心者の方に「パーミッションが・・・」や「wp-config.phpが・・・.htaccessが・・・」なんて言っても通じないと思いますが、CMSを運用するってことはその辺もしっかり理解しないといけないということだと思います。DBを丸っと消されたらどうします?バックアップ取ってます?ね?お手上げでしょ?DBのバックアップってどうやっって取るの?って話しじゃないですか。便利になればなるほど危険も付き纏う。そんな世界ですよね・・・。関連記事[WordPress]特定のカテゴリ内の記事一覧を表示するあんなーおじさん今年で41歳じゃっと。何度も同じコードを書いても3日すれば忘れるの。Switcherを試した感想やら怒涛の2週間もようやく終わりが見えてきました。構成から何から全てが完成していれば2週間で複数サイトの制作って意外と楽にいけるもんですね。CSS」でステキサイトマップそういえば鹿児島は梅雨入りしました下山です。Sitemap...記事を読む[JavaScript,CSS,WordPress]WordPressの案件でエンドユーザーがtableを使用するときのためにやっていることWP案件あるあるネタを。WordPressの案件で納品後、お客様が編集する際に表を利用するときの対応方法をひとネタ書きたいと...記事を読む[WordPress]特定のカテゴリのサブカテゴリをリスト表示するWordPressで特定のカテゴリのサブカテゴリをサイドバーなどにリスト表示する際のコード。...記事を読む[WordPress]アイキャッチ画像のURLを取得してサムネイルから大きい画像にリンクしてみる最近またWordPressの案件ばかりやらせていただいてます下山です。アイキャッチ画像を使ってると、よくある悩みが画像のURLだ...記事を読む[WordPress,カスタムフィールドテンプレート]カスタムフィールドテンプレートのラジオボタンを使って表示内容を切り替えてみたメモあーあー。いえね、なんか色々アレなんです。