welcartにオブジェクトインジェクション脆弱性 1.9.4に至急バージョンアップ必須

1週間前から続けて複数のサーバーが改ざん。

これは笑えない。同じハッカーによる改ざんだったからです。バックドアの内容が全く同じ。改ざんしたサーバーを使いスパムメールを大量にばらまく。カリビアンコムにリダイレクトさせる。

この手口は過去と同様です。早速、クリーンアップしてみました。全ファイルではなく、画像ファイルやCGIで使用しているフォルダーはさほどチェックしませんでした。

FTPアクセス制限設置、効果なし。
パスワード変更、効果なし。
プラグインすべて最新版に入れ替え、効果なし。
テーマないのファイルすべてチェック、効果なし。

発見した、改ざん個所
index.php
wp-config.php
header.php

バックドア、5から6か所

バック度は、画像ファイルフォルダーやCGIフォルダー内、などチェックしないような箇所に設置されています。

また、,icoファイルがバックドアだったこともあります。過去、gifファイルがバックドアだったことがあります。

これは厄介、8サイト改ざんされ、3日たってもまだ1サイトも クリアされていない。

本日、ヘテムルからの連絡で、至急welcartを1.9.4にバージョンアップするよう指示がりました。1.9.4いつのバージョン？9/12公開されたばかりのバージョン。


そういえば、改ざんされたサーバーはwelcartがインストールされているサーバーばかりでした。

至急入手しました。とりあえず、下記のことを行い、様子見です。


1.
最新版のwordpressとプラグインをオフィシャルサイトから入手しました。


2.
バックアップのテーマを用意

3.
クリーンなwp-config.phpを用意

3.
FTPでサーバーのファイルを削除

4.
最新版のwordpressとプラグインをアップ

5.
wp-onfig.phpをアップ

6.
wp-ｃｏｎｔｅnt内にあるuploadsフォルダの画像をすべてチェック（アイコンを見ます）

7.
テーマをアップ

8.
ログインして welcartを無効にする

9
その後で、有効に戻す。

10.
商品購入で正常に動作することを確認。


これで様子見です。

もちろん、パスワード関係はすべて変更しています。

最近のホームページ改ざんは減っている？増えている？

久しぶりの投稿です。

ホームページ改ざんが減って書くことがなくなったのではなく、むしろ巧妙な改ざんが増えて書いている余裕がなかったというのが本当のところです。

Google検索で「悪意のサイト」、「このサイトは第三者によってハッキングされている可能性があります」等の警告が以前に比べ減っているような気がします。

気がするだけで、本当は増えているのかもしれません。ただ、最近の改ざんは、このような警告を出させないよう手口が巧妙になってきています。改ざんに成功しても、Google検索やウィルススキャンソフトにより瞬時にブロックされては「苦労」して改ざんした意味がなくなります。

こんなバカげた「苦労」はやめてももらいたいです。最近では、改ざんされたホームページを修正するサービスが多くなってきました。どれも100％元に戻すことを保証するサービスではありません。

Wordpressや他のCMSでホームページを作成している場合は、テーマとデータベースのバックアップは必須です。これさえ行っていれば改ざんされても修復は可能です。

 最近の巧妙な改ざん手口

改ざんしたホームページのメール送信機能を利用して大量のスパム（ウィルス）メールをばら撒きます。 しかも、ウィルススキャンで検知できないことが多々あります。

バックドアを設定されると、パスワード変更、バージョンアップ、FTPアクセス制限は効果がありません。これらのことは不正ファイルをすべて駆除してから行うことです。


バックドアは複数設定されています。imagesフォルダー、uploadsフォルダー等、意外な場所に設定しているケースが多く、駆除するためには、全ファイルを新しいファイルで入れ替えることです。

先月末の改ざんでアップされていたファイルの中身です。この種のファイルが至る所に置かれています。

クリックするとｐｏｐアップでfindbetterresults.comへ

厄介な改ざんがありました。

ワードプレスで作成したページ、どのリンクボタンを押しても下記のサイトがポップアップで表示されます。

findbetterresults.com

このサイトはマルウェアをばら撒いているようです。

とりあえず、パスワードを変更しました。

バックドアはありませんでした。 

次に、ＦＴＰでワードプレスのデータをすべて削除して、新しいファイルをアップしました。

プラグインをすべて最新版にし、テーマ内にあるjsファイルを無効にしました。

解決しません。


検索すると、 findbetterresults.comがポップアップで開くトラブルが多発していることに気づきました。これらはPCにマルウェアがダウンロードされて起こる現象で、今回の改ざんとは違いました。


唯一アメリカの投稿で、ワードプレスで作成されたページがどのリンクをクリックしてもfindbetterresults.comのポップアップが表示されてしまい、解決していない記事を読みました。

これは、厄介？？？？



テーマを変えてみました。　ポップアップは起こらない。

ポップアップのソースはテーマにあることがはっきりしました。

もっとも怪しいheader.phpですが、これは最初に徹底的にチェックしました。

残りはfooter.php、一行怪しいスクリプトがありました。そのコードが読み込んでいたのがfindbetterresults.comのポップアップソースでした。

この一行を削除してとりあえず、解決です。

パスワードは16桁英数字混合で作成しました。

約5時間の格闘でした。

















ｊｓ

Wordpress 改ざんされないために絶対やっておくこと

先週、公開したばかりのwordpressサイト改ざんされました。

テーマ内のfunctions.phpが改ざんされ、ページが白紙表示になりました。

念のため、全ファイルをウイルスチェックすると、バックドアファイルが3か所に設定されていました。

なぜ、こうも簡単に改ざんされたのか。インストールした本人に確認すると推測されやすい、IDとパスワードを一時的に設定したそうで、単純な油断が原因でした。

改ざんされないために絶対やっておくこと

1. IDをadminにしないこと
2. パスワードは、不便であっても複雑にする。
3. プラグインをやたらに使用しない。また、使わないプラグインはさくじょする。Jetpackだけでも十分！
4. バージョンアップが行われないテーマを使用しない。公式のテーマを利用する。
5. phpファイル　wp-config.phpのパーミッションは400で設定する。

wordpress以外では、FTPのパスワードを複雑にする、PCで最新のウィルスソフトをインストールする。などあります。


とりあえず、これだけ行っておけば改ざんされにくいと思います。

ロリポップのレンタルサーバー

ロリポップ

仕事がらロリポップのアカウントを100近く持っています。

以前ハッカー組織による大規模な改ざんがあり、管理しているホームページも３サイト改ざん被害にあいました。サーバー設定の甘さが指摘され、相当信用を失ったことでしょう。

しかしながら、以降、他のホスティング会社よりも改ざんによる対応は細心の注意を払っていると感じています。そのため、解約はせず、契約を続けています。

ロリポップの改ざん対応。便利な点

• １時間当たりにメールが500以上発信されると警告をだして停止する。
  これはサーバーの負荷軽減を意図したものですが、実際にはハッカーにより取り付けられたバックドアにより大量のスパム/ウィルスメールが送信される状況を知らせてくれます。ロリポップに問い合わせると、どのファイルが送信しているか教えてくれます。そのファイルがバックドアにより取り付けられた送信プログラムです。
•  ロリポップのプラン変更はサーバー移行やメールアドレス再設定なしで行える。
  ホスティング会社によってはMysqlが1つしか使えないことがあります。つまり、Mysql5.6の時代に4バージョンを使い続けなければなりません。WordpressなどのCMSを最新版にできなくなり、改ざんされやすいサイトを維持しなけえばなりません。
  ロリポップのスタンダードプランではMysqlが30まで使えるので、古いバージョンも最新のMysql/phpバージョンに移行できます。
• 毎月のように、CMSのバージョンアップ連絡をアドバイスしてくる。
  そのそろバージョンアップしておくか、そんな気にさせます。

ロリポップのおじさんキャラが法人向けに適さない印象を与えますが、内容で判断したいですね。


実際、バージョンだｐｈｐだ全く分からない方がほとんどだと思いますが、コントロールパネルはどのホスティングサービス業者よりもわかりやすく設計されています。

メール受信ができるが、送信メールが届かない(2)

前回の続きです。

ホスティングサーバーのメール機能によっては、SMTPサーバー名が設定したドメイン名と異なることがあります。

例えば、abc@def.comのメールアドレスを設定したとします。

ロリポップでは、

ＳＭＴＰサーバー名は、smtp.def.comではなく、smtp.lolipop.jpになります。

このように、@マーク以下のドメイン名とSMTPのドメイン名が異なる場合、送信メールがなりすましと判定されることがあります。　

セキュリティを強化している企業にメールを送ると届かない現象が起こります。

ロリポップの場合、ムームードメインのDNSサーバー設定でSPFを使用することで、この問題を回避できます。つまり、メール送信でlolipop.jpの使用を含むと定義します。


ちょっと専門的ですので、利用しているホスティング会社に問い合わせると良いでしょう。これに対応できないホスティング会社であれば、サーバー移管を検討したほうが良いかもしれません。


別件ですが、なりすましメール強化で、ホームページのお問い合わせフォームのメールが届かなくなるケースが増えています。特に、CGIフォームでSMTP送信ができない場合が多いようです。

Wordpressでホームページを作成してる場合は、プラグインがありますので、それを活用しましょう。

https://ja.wordpress.org/plugins/wp-mail-smtp/

メール受信ができるが、送信メールが届かない

今まで、メールの送受信が正常だったのに、急に送信メールが特定の人にだけ届かなくなったというトラブルを聞くようになりました。

メールのプロパティは変更していないのになぜ。

そのような時は、自分のメールアドレスがブラックリストに入っていないかチェックしましょう。

メールの@以下をチェックします。

http://mxtoolbox.com/

クリアできれば、OKです。