ブロギングライフブロギングライフブログサイト運営関連、AdSenseについての情報などを発信しています。SEO・ウェブマスター関連の主な出来事・発表・ニュースChico@ブロギングライフ2019年12月30日2019年も残りわずかとなりました。2019年の検索・ウェブマスターに関連する主な出来事について、時系列順に振り返って紹介します。年が明けて2020年となりました。2010年代が終わり、2020年代に入りました。過去を振り返ると色々なことがありましたが、これからも色々なことが起こると思います。2020年代は、自分が納得できるようなことをしていきたいと思っています。サイト乗っ取りの手口と対処法0件WordPressバックドアは、通常の認証プロセスをバイパス(迂回)して、検知されずにサーバーに遠隔アクセスすることを可能にする手法のことです。ずる賢い殆どのハッカーがまず第一に行うことが、バックドアのアップロードです。バックドアに利用したプラグインが発見されて削除された後ですら、ハッカー達のアクセスを可能にします。バックドアはプラグインのアップデートをした後でも、残っていることがあります。そのため、バックドアを利用してハッキングされた後、完全に片付けない限り、サイトは脆弱な状態となります。プラグインをアンインストールすることを推奨しています。対策のアップデートがされているので、大丈夫とは限らない事、推奨はプラグインをアンインストールするという点も着目すべきポイントだと思います。バックドアには、隠された管理者ユーザーネームを作成するシンプルな手法から、ハッカーが自在にバラウザーからPHPコードを送信して実行することを可能にする様な込み入ったバックドもあります。それら以外にも、本格的なUIを備えたシステムからメールを送信してSQLクエリを実行し、ハッカーが自由自在にやりたいことができるようにするものもあります。バックドアのコードが設置されることが多いものWordPressにバックドアをインストールする場合、最も一般的な場所は以下になります。テーマ現在使用しているテーマではないテーマではなく、テーマのディレクトリに残っている使われていないテーマのディレクトリにコードを忍び込ませていたりします。プラグインプラグインは、ハッカーにとってコードを密かに設置するのに適しています。第一の理由は、ユーザーはほとんど細かい中身を見たりしないためです。第二にユーザーは(直ぐに)プラグインをアップデートしないため、脆弱性などに対策したアップデートをされない状態のままのものをハッキングできたりするためです。備考:今回発見されたCaptchaのプラグインで行われたような、自動アップデートを利用してバックドアのファイルをインストールする逆の手口もあります。プラグインは、脆弱性があるものもあります。プラグインの脆弱性を利用して、ハッカーがバックドアを作成する場合もあります。アップロードディレクトリ画像などをアップロードするディレクトリには多量のファイルがあります。ディレクトリ内のファイルをユーザーがチェックすることはあまりないため、ハッカーがバックドアのためのファイルをアップロードするのに好都合な場所です。アップロードディレクトリは、ライタブル(書き込み可能)のため、ハッキングに適しています。過去の事例では、バックドアのファイルは、アップロードディレクトリに隠しておく場合が多いです。wp-config.phpwp-config.phpは、WordPressの基本的な設定を行う重要なファイルです。そのため、ハッカーからも狙われやすいです。フォルダー(ディレクトリー)も、バックドアが見つかることがあります。フォルダーも、ユーザーが通常見ることがないため、バックドアファイルの設置に狙われやすい場所です。ハッカーによっては、バックドアファイルを複数設置する場合もあります。アップロードしてバックドアファイルを設置する際、バックアップも加えて設置したりする事例も見つかっています。サイトでのバックドアの例としては、wp-includesのフォルダーの中に通常のインストールでは存在しないwp-user.phpと言う名のバックドアファイルが含まれているなどがあります。user.phpが通常あるファイルです。ファイル名も一見しただけでは、直ぐに分からないような名前にしていることが多いです。プラグインのバックドアは、プラグインの自動更新を行うファイル内に、バックドア作成コードを忍ばせたZIPファイルをダウンロードする巧妙な手口が使われているものでした。乗っ取りに対する防御も強まっています。バックドアなどのハッカーからの攻撃の防御に効果的な対処を以下に紹介します。4.7と4.7.1に脆弱性があり、5万以上のサイトが乗っ取られるという事態が発生しました。バージョン4.7.2以降はセキュリティ対策を施したバージョンアップは、自動で行うように変更されました。現在のWordPressでは、セキュリティ上の問題が見つかって対策を行なったバージョンがリリースされると、利用中のユーザーのサイトは自動的に対策済みのバージョンに更新されるようになっています。WordPressのセキュリティリリースは自動で更新されるようになったことで、WordPressのコアなどの脆弱性に対するハッキング行為は難しくなっています。そのため、ハッカーはプラグインやテーマの脆弱性を狙う傾向が強まっています。プラグインやテーマは様々な種類があります。プラグインやテーマの管理については、ユーザー側で特に注意を払う必要があります。以下に紹介するようなプラグインやテーマの基本的な管理を行うだけでも、バックドアなどのハッキング予防となります。家の防犯対策と同じで、少し注意を払ったり、基本的なことを行うだけでも、被害を受けるリスクを低減します。信頼性が高いプラグインやテーマを使用するテーマやプラグインの品質は差があります。脆弱性があるテーマやプラグインもあります。一般的には、多くのユーザーが利用しているてテーマやプラグインを使用する方が安全です。利用者が多いテーマやプラグインでも脆弱性が見つかることはありますが、対策も早く行われることが多いです。情報の入手もしやすいです。使っていないテーマやプラグインは削除する上で紹介したように、使用していないテーマはバックドア作成に狙われやすいです。使用していないテーマは削除することで、安全性を高めます。(リスクを低減します。)使っていないテーマを再び使ってみようと考えたり検討する際には、その時に改めてテーマをダウンロードすれば良いことです。使っていないプラグインも削除することで、バックドア攻撃などのリスクを低減します。使用していないテーマやプラグインをそのままにしておくこと、不使用のファイルがサイト上に多量にあることはセキュリティ上を含めて、好ましいことではありません。利用していないテーマやプラグインを削除するだけでも、バックドア予防に寄与します。プラグインやテーマを最新版にする古いバージョンのプラグインやテーマにある脆弱性を利用して乗っ取りを行おうとする場合もあります。脆弱性が見つかったため対策したバージョンにアップデートされた場合、速やかにアップデートすることで乗っ取りからの被害を受けるリスクを低減することができます。プラグインやテーマの更新をまめに行うことも重要です。甘い話には乗らないプレミアムテーマやプラグインを無料で利用できるなどと誘惑して、乗っ取り用のコードなどを組み込んだプレミアムテーマやプラグインをユーザーに配布して、サイトにアップロードさせて乗っ取るような手口もあります。上手い話には裏があるのが通例です。甘い話には乗らないように注意して下さい。ルールを設定して保護する方法をご参照下さい。サイトを安全に保つことは家の防犯対策と似ていますサイトを乗っ取りなどの被害を受けないようにすることは、家などの防犯対策と似ているところがあります。家の戸締まりをきちんとしたり、少し注意を払ったりするなど基本的なことを行うだけでも、被害を受けるリスクを低減する効果が高いです。サイトにも同じことが言えます。セキュリティ会社のシステムを利用すれば安全性は高くなりますが、利用しなくても注意を払うだけで被害を受けるリスクを減らすことは十分に可能です。本記事で紹介したバックドアの対策は、WordPressのセキュリティを強化するための基本的な事と共通するところも多々あります。やれることをやるだけでも十分に効果があると思います。カスタム検索Googleの強力な検索エンジンを使用して、サイト内の記事を検索します。カスタム検索の設置方法は、こちらの記事をご参照下さい。2020年2月...Moreメルマガ・ニュースレター登録サイト運営関連のニュース、更新情報などをメールマガジンで配信しています。以下のフォームにメールアドレスを入力すると、メールマガジンの登録に関するメールが送信されます。届いたメールの内容を確認後、メール内に記載されたURLから登録を完了して下さい。ポッドキャストサイト運営とSEO関連の主な出来事、発表などについて、毎週、ニュースレターと合わせてポッドキャストで配信しています。Blogger関連の情報、Bloggerの使い方、活用法についての情報を発信しています。Blogger@ブロギングライフWebサイト運営関連の情報フォーラム:フォーラムプラットフォームでありながら、多彩なメディアサポート、多機能を提供するphpBBを使用したフォーラムサイトです。