英語の成績はあまり良くなかった自分ですが、それでもGoogle翻訳を使わなくても自分でもある程度読めました。誰かがアンタのWordPressにグーグルのフィッシングページを仕込んでるから削除してね。あとセキュリティの設定もチェックしてね。みたいな感じだとおもいます。((あとでGoogle翻訳かけてみたところ、「誰かがインストールし、あなたのワードプレスでグーグルフィッシング詐欺のページをインストールされています(URL削除)セキュア詳細はそれを削除し、吸い上げ、およびセキュリティ設定を確認している場所を確認することができます。」とのことだったので、まぁ、だいたい合ってた?))怪しいファイルが悪さ出来ないようにするということで、FTPソフトでログインしてみると、確かに該当ディレクトリに最近謎のファイルが追加された形跡がありました。いえ、このディレクトリはコアファイルが入っている場所。下手に削除して動かなくなるのはよろしくありません。いうことで、ローカルにインストールされているWordPressの同じディレクトリを開き、そこにないファイルので更新日が新しいものを調べてみると、「ID3」フォルダ以外は後から増やされているもののようです。「ID3」のなかにも1つだけ更新日が新しい「header.php」というものがあり、それもどうやら不要なもののようでした。かかれたPHPファイル。因みに複合すると過去にいちどやらかされたときの謎のアップローダー(?)画面のようでした。いうことはこれは前回の修正の時の取りこぼし...?兎に角、こいつらを一旦パーミッション000にして様子見中ですが、週末にでも再インストールしようかとも思っています。他にもなんかなってたら嫌だし。ここまでがまずは怪しいスクリプトの停止について。続いてセキュリティの設定の見直しです。管理画面にBASIC認証をかける前回遭遇した時はWAFの設定とFTPパスワードの見直しだけで、実は管理画面のアクセス制限はかけていませんでした。いうのも自分は何箇所からか更新することがあるし、固定IPではないためちょっとしたタイミングでアクセスできなくなるのも不便だなと思ってたからです。(結果それがまずかったのかもしれませんが)で、調べてみたところ、アクセス制限じゃなくて、BASIC認証をつかって管理画面のログイン情報とは別にパスワード認証をかけるほうほうが有ることを知ったので、その方法を採用することにしました。いう2つのファイルをつかいます。触ってればなんとなく聞いたことがある人も多いかもしれませんが、サーバーのいろんな設定をディレクトリ単位で変更できるファイルです。アクセス制限とか認証といった設定もここでやるわけですね。他にもキャッシュの設定とか、WordPressのパーマリンク設定でお馴染みのMOD_REWRITEなんかもここで設定しています。聞き慣れないかもしれませんが、これはBASIC認証の際に入力するユーザー名とパスワードの情報が書かれています。認証するときにこのファイルを参照して入力されたユーザー名とパスワードの組合せが正しいかを判断してるんですね。.htpasswdの作成ということで、まずはこのパスワードファイルを作成します。.(ドット)から始まるファイルはちょっと特殊なファイルなのでローカルで作ろうとすると地味に面倒くさかったりしますので、今回はロリポップFTPから作業しました。WordPressのインストールディレクトリまで移動し、新規ファイル作成をクリックします。ファイル名を「.htpasswd」ファイルの属性は「604」に設定します。ユーザー名とパスワードを書くのですが、そのまま書いても動作しませんのでちょっと特殊な書き方(暗号化)をします。言うと、つまりそれってこのファイルがバレたらパスワードがばれてしまうってことになりますよね。そんな感じなんじゃないかと。暗号化も確か一方向タイプで、複合はできなかったはずです。認証するときは同じ条件で都度暗号化して、暗号化された状態を比較してるんだと思います。やりかたはいろいろありますが、今回はぱぱっと作成できるこのサイトを利用しました。htpasswdファイル生成(作成)使い方は簡単で、「ID」と「Password」にそれぞれ認証に使いたいID(ユーザー名)とパスワードを入力して「生成」を押すと、「.htpasswd」の欄に生成されますのでこれをそのまま全部コピーします。これを、さっきのロリポップFTP画面にもどって下の本文テキストフィールドに貼り付けます。貼り付けた後改行してファイルの末尾に1行あけておくのも忘れずに。やらないとうまく動かないらしい。ファイルを保存したらパスワードの準備は完了です。有ると思うので、それをそのまま修正します。ついでなのでこれもロリポップFTPでやってしまいましょう。クリックして編集画面に入り、以下のように追記します。all</Files>書式については、こちらの記事を参考にしました。設定でしょうか?いずれもロリポップのマニュアルに書いてありましたが、はじめ気付かずに何度やってもパスワードが通らないってことがありました。パスですが、これはフルパスで書く必要があります。ロリポップの場合、/home/users/0/lolipop.jp-(ロリポップ!のドメイン)/web/がフルパスになります。ロリポップのドメインってのは、よくメールとかFTPの設定とかでいれるdpなんたら〜ってやつです。これは、ロリポップのユーザーページにログインして、「アカウント情報」というページに入ると、下から3番目あたりに書かれてます。これらを正しく設定したら、保存してからWordPressのログイン画面を開いてみましょう。認証がでてきましたか?でてきたら成功です。出てこない場合はためしにブラウザを再起動したり他のブラウザで試してみたりしてください。それでも出ない場合はどっか設定が間違えてるかもしれません。逆に入力ダイアログは出るけどパスワードを何度入れても通らないって場合は、上記のパスとか末尾の改行とかを疑ってみてください。キャンセル投稿を送信できませんでした。メールアドレスを確認してください。メール送信チェックに失敗しました。このブログではメールでの投稿共有はできません。%d人のブロガーが「いいね」をつけました。