この改ざんは、.htaccessに以下の書き込みを行ないます。
# BEGIN SYSTEM API
RewriteEngine on
RewriteBase /
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^ny/(.*)$ ●●●●/wp-info.php?$1 [L]
# END SYSTEM API
削除しても数時間後にはまた書き込まれます。
●●●●のフォルダーは都度変更され、wp-info.phpが育成されます。
この種の改ざんは、ウィルスチェックをパスしてしまうので、Googleのウェブマスターツール（Search console)でチェックする方法をおすすめします。
ウェブマスターツールの コンテンツ キーワードで意図していないキーワードが無いかチェックします。ちなみに、今回の改ざんでは、cialis、viagraがキーワードの上位を独占していました。Googleのクローラーもこれらのキーワードを認識し、改ざんにより育成された大量のページがインデックスされていました。
wp-info.phpによる改ざんで参考にするサイトは殆ど出ていませんが、下記のサイト(英語)がとりあえず参考になりました。
http://wordpress.stackexchange.com/questions/167383/how-to-fight-this-wp-info-php-exploit
2015年6月27日土曜日
2015年6月6日土曜日
wp-info.phpを使った新しい改ざん
今年の3月末、Wordpressのサイトで新たな改ざんを発見しました。気付くのに2か月も掛かってしまいました。
どんなウィルスチェックも安全であると結果が出ていましたし、Googleのウェブマスタツールもパスしていました。
なぜ気づいたのかと言いますと、4月21日に発動したモバイルゲドンの影響をウェブマスタツールでチェックしていた際に、あるサイトのインデックスされたページ数が3月末に500から2500に増大していたからです。
増えたページを開いてみると、長文の英語ページで、合計2000ページもありました。内容はいわゆる日本のインチキSEO屋が行う手法、様々なブログで書く稚拙な文章の中にキーワードを盛り込み、バックリンクとして飛ばす手法と同じようなページに見えました。
これらのページはWordpressの投稿ページや固定ページにはありませんでした、データベースにもなく、FTPサーバーにもありませんでした。
おそらく、RSSフィードのようなものを使っているのだと思いますが、クローらがそれらの英文を通常のページとして読み込んでいることが問題です。「悪意のあるサイト」として認証されないので、多くのサイトがこのような改ざんを受けているかもしれないと思っています。
wp-info.phpがこれらの改ざんを引き起こすファイルであることまでは分かったのですが、このファイルの情報を検索しても、一部英語のサイトで出てきますが、正体を明らかにした情報はほとんどでてきません。
来週は画像ファイルも含め、新しいファイルにすべて置き換え、パスワード関連もすべて変更します。
どんなウィルスチェックも安全であると結果が出ていましたし、Googleのウェブマスタツールもパスしていました。
なぜ気づいたのかと言いますと、4月21日に発動したモバイルゲドンの影響をウェブマスタツールでチェックしていた際に、あるサイトのインデックスされたページ数が3月末に500から2500に増大していたからです。
増えたページを開いてみると、長文の英語ページで、合計2000ページもありました。内容はいわゆる日本のインチキSEO屋が行う手法、様々なブログで書く稚拙な文章の中にキーワードを盛り込み、バックリンクとして飛ばす手法と同じようなページに見えました。
これらのページはWordpressの投稿ページや固定ページにはありませんでした、データベースにもなく、FTPサーバーにもありませんでした。
おそらく、RSSフィードのようなものを使っているのだと思いますが、クローらがそれらの英文を通常のページとして読み込んでいることが問題です。「悪意のあるサイト」として認証されないので、多くのサイトがこのような改ざんを受けているかもしれないと思っています。
wp-info.phpがこれらの改ざんを引き起こすファイルであることまでは分かったのですが、このファイルの情報を検索しても、一部英語のサイトで出てきますが、正体を明らかにした情報はほとんどでてきません。
来週は画像ファイルも含め、新しいファイルにすべて置き換え、パスワード関連もすべて変更します。
2015年4月21日火曜日
Googleマップの改ざん
今月中旬からGooglマップの改ざんが起こっているとニュースで知りました。
あのGoogleも簡単に改ざんされてしまうのか？
改ざん例
皇居敷地内の建物「オウム真理教」
東京都の警視庁本部「恒心教警視庁サティアン」
広島市の原爆ドーム「核実験場」
その他、日本の名所等々
日本だけでなく、改ざんは世界の施設にも起こっているそうです。
GoogleマップはいまではGoogleビジネスの一部ですが、オーナーがいる場合は、オーナーがGoogle+でページを作成して情報を編集できます。
Googleビジネスは欧米では急速に伸び出ているようですが、日本ではまだそれほど認識されていないようです。
偶然でしょうか。改ざんされている施設は、管理するオーナーがいないようです。
Google+最下部に「ビジネスオーナーですか」 と表示されています。
Googleマップは個人的に最も利用するツールですので、早い解決を望みます。
あのGoogleも簡単に改ざんされてしまうのか？
改ざん例
皇居敷地内の建物「オウム真理教」
東京都の警視庁本部「恒心教警視庁サティアン」
広島市の原爆ドーム「核実験場」
その他、日本の名所等々
日本だけでなく、改ざんは世界の施設にも起こっているそうです。
GoogleマップはいまではGoogleビジネスの一部ですが、オーナーがいる場合は、オーナーがGoogle+でページを作成して情報を編集できます。
Googleビジネスは欧米では急速に伸び出ているようですが、日本ではまだそれほど認識されていないようです。
偶然でしょうか。改ざんされている施設は、管理するオーナーがいないようです。
Google+最下部に「ビジネスオーナーですか」 と表示されています。
Googleマップは個人的に最も利用するツールですので、早い解決を望みます。
2015年4月19日日曜日
WordpressプラグインJetPackの「プロテクト」機能
2013年に大規模の改ざんが起こったロリポップは、以降不正ログインがあった場合、.htaccesにブロックの記述を追加する対応を行っています。これにより不正ログインは起こらなくなったのですが、ブロックが頻繁に起こります。ブロックされるたびにＦＴＰからあるいは管理画面からブロックの記述を削除しなければなりません。面倒ですが、改ざんされることを考えればありがたい対応です。
一方で、不正ログインをブロックするプラグインSiteGuard WP Pluginが登場して、ブルートフォースアタックを防いでくれるようになりました。このプラグインを一部のサイトでしばらく使っていました。ＩＤをadminとした不正ログインが目視でわかるようになり、こんなに不正アクセスの試みが多いのかとぞっとしました。
SiteGuard WP Pluginは大変便利なのですが、ログインアドレスをサイトごとに変えていたので、私のように数百ものサイトを管理している場合、少々不便を感じていました。
1年前に、 JetPackを採用しました。そもそもこのプラグインは、不安定なKtai Entry (メール投稿プラグイン)の変わり、それにSNSとの共有投稿に大変便利でしたので、使うことにしました。
今年になり、ロリポップから不正アクセスを知らせるメールが来なくなりました。 JetPackに「プロテクト」機能が追加されていたのです。
ちなみに Akismet も JetPackが管理しています。
26件の悪意あるログイン試行をブロックしました
33件のスパムコメントを Akismet がブロックしました。
JetPackを当面使ってみようと思います。
一方で、不正ログインをブロックするプラグインSiteGuard WP Pluginが登場して、ブルートフォースアタックを防いでくれるようになりました。このプラグインを一部のサイトでしばらく使っていました。ＩＤをadminとした不正ログインが目視でわかるようになり、こんなに不正アクセスの試みが多いのかとぞっとしました。
SiteGuard WP Pluginは大変便利なのですが、ログインアドレスをサイトごとに変えていたので、私のように数百ものサイトを管理している場合、少々不便を感じていました。
1年前に、 JetPackを採用しました。そもそもこのプラグインは、不安定なKtai Entry (メール投稿プラグイン)の変わり、それにSNSとの共有投稿に大変便利でしたので、使うことにしました。
今年になり、ロリポップから不正アクセスを知らせるメールが来なくなりました。 JetPackに「プロテクト」機能が追加されていたのです。
ちなみに Akismet も JetPackが管理しています。
26件の悪意あるログイン試行をブロックしました
33件のスパムコメントを Akismet がブロックしました。
JetPackを当面使ってみようと思います。
2014年5月3日土曜日
Wordpressへのブルートフォースアタック
ブルートフォースアタックとは「何回もパスワードを変更してログインを試みる」という
攻撃です。今でも多発しています。おそらく、日本ほど狙いやすい国はないのでしょう。
昨 年、大規模な改ざんの行われたロリポップでは、不正ログインのアクションを検知した際に、wp-login.phpへのアクセスに制限をかける対策を行っ ています。現状IPアドレスによる制限が一番安全な利用方法ということなのですが、ブルートフォースアタックが多すぎます。固定IPを持たない人は攻撃を 受けるたびにFTPで解除しなければなりません。それでも、改ざんされて、トロイなど埋め込まれることを考ええば、まだましですが、何か良い方法はないの でしょうか。
現在、頻繁にブルートフォースアタックが発生するURLにベーシック認証をかける試みを行っています。これで100％防げるはずもないのですが、テストで行っています。
AuthUserFile /wp-admin/.htpasswd
AuthGroupFile /dev/null
AuthName "Member"
AuthType Basic
require valid-user
結果が出ましたら、報告します。
2015年4月1日
これはやっても無駄でした。
攻撃です。今でも多発しています。おそらく、日本ほど狙いやすい国はないのでしょう。
昨 年、大規模な改ざんの行われたロリポップでは、不正ログインのアクションを検知した際に、wp-login.phpへのアクセスに制限をかける対策を行っ ています。現状IPアドレスによる制限が一番安全な利用方法ということなのですが、ブルートフォースアタックが多すぎます。固定IPを持たない人は攻撃を 受けるたびにFTPで解除しなければなりません。それでも、改ざんされて、トロイなど埋め込まれることを考ええば、まだましですが、何か良い方法はないの でしょうか。
現在、頻繁にブルートフォースアタックが発生するURLにベーシック認証をかける試みを行っています。これで100％防げるはずもないのですが、テストで行っています。
AuthUserFile /wp-admin/.htpasswd
AuthGroupFile /dev/null
AuthName "Member"
AuthType Basic
require valid-user
結果が出ましたら、報告します。
2015年4月1日
これはやっても無駄でした。
2013年10月22日火曜日
ワードプレスは改ざんされるもの
ワードプレスにであって数年経ちました。2012年春までは快適でこんなに便利なものがあることに感心し、これからのWEB制作はCMSが主流になるのだろうと思っていました。
ワードプレスも以前は手動でのインストールでしたが、今ではほとんどのホスティング業者が簡単にインストールできるツールを用意して、顧客獲得を目指すほどになりました。これにより、初心者でも容易にワードプレスをインストールすることが可能になりました。6～7年前でしたら、これほどのブログはとても手が出ないほど高額でしたが、無料で無制限にインストールできます。
ブログですからWEB上で簡単に記事を書き込めます。記事も書き込めますが、悪意のあるプログラムを書き込むこともできます。初心者はワードプレスのユーザーアカウントをadmin、パスワードにはドメイン名や会社名のような簡単な設定を選びがちです。つまり、鍵のかかっていない玄関のドアのようなものです。悪意のある人間なら容易に侵入できます。
改ざん対策をしない人が改ざんされるのは自業自得ですが、トロイやウイルスをばら撒けば、他人に迷惑をかけます。
改ざんが多発する今は、Googleのウェブマスターツール、FTPチェック、ウイルスソフトを使い、毎日チェックするような人でない限り、むやみにワードプレスをインストールするのは控えるべき時期であると思います。
ワードプレスも以前は手動でのインストールでしたが、今ではほとんどのホスティング業者が簡単にインストールできるツールを用意して、顧客獲得を目指すほどになりました。これにより、初心者でも容易にワードプレスをインストールすることが可能になりました。6～7年前でしたら、これほどのブログはとても手が出ないほど高額でしたが、無料で無制限にインストールできます。
ブログですからWEB上で簡単に記事を書き込めます。記事も書き込めますが、悪意のあるプログラムを書き込むこともできます。初心者はワードプレスのユーザーアカウントをadmin、パスワードにはドメイン名や会社名のような簡単な設定を選びがちです。つまり、鍵のかかっていない玄関のドアのようなものです。悪意のある人間なら容易に侵入できます。
改ざん対策をしない人が改ざんされるのは自業自得ですが、トロイやウイルスをばら撒けば、他人に迷惑をかけます。
改ざんが多発する今は、Googleのウェブマスターツール、FTPチェック、ウイルスソフトを使い、毎日チェックするような人でない限り、むやみにワードプレスをインストールするのは控えるべき時期であると思います。
2013年10月17日木曜日
ロリポップのワードプレス改ざん
Hacked by Krad Xinでタイトルやフッターのコピーライトが書き換えられ、文字コードがutf-8からutf-7に変更され文字化けがおこるロリポップ改ざんから1か月以上たちましたが、未だに改ざんされたことに気付いていないサイト所有者が多数います。
今回の改ざんは一度に8000以上のページを改ざんしたことで、大きく報道されました。個人的には5サイト改ざんされていましたが、それらを見る限り トロイを仕掛けるとかテーマを破壊するような大きなダメージはなかったような気がします。
この2年半、改ざんをいろいろ経験していたので、今回もまた起きたかと思ったのが正直なところです。
ロリポップ側の設定にも問題があったようですが、共有サーバーであればどこのホスティングでも多かれ少なかれ起こりうることです。肝心なことは、どこのサーバーを使っていても、常にサーバーを移転できるようバックアップを取っておくことです。制作会社にページ制作を依頼する場合は、バックアップ体制もフォローできる制作会社を選ぶことです。
今回の改ざんは一度に8000以上のページを改ざんしたことで、大きく報道されました。個人的には5サイト改ざんされていましたが、それらを見る限り トロイを仕掛けるとかテーマを破壊するような大きなダメージはなかったような気がします。
この2年半、改ざんをいろいろ経験していたので、今回もまた起きたかと思ったのが正直なところです。
ロリポップ側の設定にも問題があったようですが、共有サーバーであればどこのホスティングでも多かれ少なかれ起こりうることです。肝心なことは、どこのサーバーを使っていても、常にサーバーを移転できるようバックアップを取っておくことです。制作会社にページ制作を依頼する場合は、バックアップ体制もフォローできる制作会社を選ぶことです。
登録:
投稿 (Atom)