3週前@japantourguideこんばんは。メールアドレス(Yahoo!メール)のアドレス・パスワードを紛失してしまって時点で通常はアウトです。銀行でいえば、通帳もキャッシュカードも認印も身分証明書もすべてなくしているのに窓口で「お金をおろしたい」と主張しているような状態です。その上で対処法をご説明します。この手法は非常にリスクを伴いますので、世界で最も危険な都市(ビジネスインサイダー調べ)と言われるメキシコのロスカボスを全裸で両手両足にロレックスをつけたまま歩くぐらいの気持ちで迅速に行なってください。「ロリポップと契約」とあることから、なんらかのレンタルサーバーに10年間お金を払い続けているのだと思います。すると、そのサーバーにファイルをアップロードする権利があります。アップロードできない場合はロリポップのサポートに質問してください。名前を変更して、WordPressのドキュメントルートにアップロードします。ドキュメントルートはロリポップであればmain.jp-a2379918/web/wordpressとかそんな名前だと思います。アクセスするとWordPressにログインしている状態になるはずです。動かなかったら、お返事ください。あなたのプロフィール」から、メールアドレスおよびパスワードを変更してください。これで次回以降もログインできるようになります。最後に、どうしても気になったことを書いておきますので、ご参考までに。「貴社」という表現がありますが、このフォーラムはボランティアで運営されているフォーラムです。営利企業ではありません。このフォーラムで回答している人はビタ一文貰っておらず、善意からサポートしていることをご認識ください。3ヶ月前@eucreateご指摘の件ですが、仲間がいるかどうかというより、セキュリティに関する知見があるかどうかが問題ではないでしょうか。セキュリティ専門のエンジニアというのもいますし、最近は攻撃方法も多彩なので、継続的に情報を追っておく必要があります。https://blog.sucuri.net/他にも色々ありますが、普段からセキュリティの情報を摂取しておくことをオススメします。今後は私のような仲間を持たない開発者では、無理なのでしょうか?仲間がいないと身軽で楽ですが、やはり専門的な強みを複数持った仲間でチームを作った方がよいにきまっています。友達や同僚、部下などでなくとも、頼りになるパートナーとしての外注先を1つぐらい持っておくと心強いですね。なんでも自分一人でできればそれに越したことはないですが、人間の力には限界がありますので。3ヶ月前@eucreateお疲れ様でした。報告もとても参考になります。パブリックな場所で書かず、専用の窓口を利用することなどが最低条件になります。今回はクライアントからの相談ということだったかと思いますが、たとえばクライアントであったとしても、上記の情報がないとなんの診断もできない(たとえていうなら、「患者がいないのに診療する」みたいなことでしょうか)ということを前提に対応されるとよいかもしれないですね。私のサイトにもSQLインジェクションやディレクトリトラバーサルの痕跡はみられますが、実際の被害はありません。実際にやってみて、同じ被害が出るか試してみて再現性を担保するとより確信が深まるのではないでしょうか。被害の実態は「ファイルの改ざん・追加」ですので、そうした攻撃を行う場合はまた別の脆弱性があることが多いです。1つ前のアドバイス通り、利用プラグインのチェックをオススメします。4ヶ月前@eucreate被害の状況を見るに、MySQLインジェクションではなく、ローカルファイルインクルージョンだと思われます。推測ですが、利用しているプラグインやテーマに脆弱性が存在していて、攻撃者によって好きなファイルを配置することができてしまっているのではないでしょうか。htaccessを見るに、スパムサイトへリダイレクトされる仕組みになっていますが、他の攻撃結果と整合性がないことから、よく知られた脆弱性を突かれた感じがします。4.9.7にダウングレードすることが解決策になるかどうかは現時点ではわかりません。なんにせよ、プラグインorテーマの名前+脆弱性で検索してみると、何か分かるかもしれません。調べるとわかりやすいかと。4ヶ月前@eucreate興味深いですね。たしかにそのログはSQLインジェクションですが、成功したかどうかはそれだけだとわかりませんね。SQLインジェクションで被害が出るのはコンテンツの書き換えですが、拝見する限り、ファイルパーミッションを奪首されているので、別の理由のような気がします。プラグインの脆弱性によって、ファイル書き込み権限を奪首されるケースはいくつかあります。古いプラグインを利用していないかどうか、チェックしてみてはいかがでしょうか。コマンドラインツールで改ざん検知もできます。https://capitalp.jp/2017/12/12/wp-cli-starts-checksum-command-test/また、仮に脆弱性だった場合は本家に報告するのがよいと思います。4ヶ月前@punilerショートコードを除去して構わない(=データベースに保存されている内容そのままで構わない)のであれば、次のやり方でいけないですかね。