2023年01月06日
年末に弟のホームページをwordpressにて戯れに作っていました。プラグインたくさん入れるのが好きじゃないのと、仕事じゃないしってのもあって超絶無防備な状態で公開してました。
年明けにホームページの使い方を弟に説明していたのですが、投稿画面を見てみると見たこともないカテゴリーと記事がたくさん追加されていました。なんじゃこれ！
幸いにも指定カテゴリーの記事のみ表示する作りにしていたので表には出ていなかったのですが、一週間程度でこんなことになるのかとびっくりしました。
逆になんでうちのホームページ大丈夫なんだろうと思ってプラグインの確認をしたのですが、いらないだろうと思いながらも保険で入れてたプラグインがかなり活躍していたようで、これは仕事でホームページ作る時は絶対入れとこうと備忘録。
前職の仕事で別の業者さんが作っているホームページのメンテをすることがあって、その時に見てたら便利そうだなと思って真似して入れたプラグインです。ログインURLを変更できるところとログイン画面によくある、画像にあるひらがなを入力させて一致しないとログインできないようにできる機能がつけられていいじゃんくらいのつもりで入れてました。
改めておすすめプラグインなどで調べてみると絶対出てくるくらいメジャーなものでした。しかも国産だそうです。
スポンサーリンクwordpressのプラグイン管理画面からSiteguardで検索してインストールして有効化します。すると簡易画面のURLが変更されるので一度ログアウトしたんじゃなかったっけ？
すると早速ログイン画面が変わってます。
画像にあるひらがなを入れて一致しないとログインできないようになりました。これだけでもプログラムでログインできなくなるので大きいです。
今まであまり見てこなかったけど、SiteGuardのダッシュボードをクリック。
けっこういろいろありますね…
これをONにすると、24時間ごとにログインする必要がありますが、24時間管理画面にログインしていないIPすべてのアクセスを拒否できます。面倒ですが恐ろしい機能です。
ログインページのURLに乱数を追加してデフォルトのURLでアクセスできないようにします。後から自分の好きな文字列に変更もできます。変更後のURLを覚えておかないとログインできなくなってしまいますので注意。
最初のひらがなのやつです。
ログイン失敗したときに親切でユーザー名なのかパスワードが間違っているのか教えてくれるのですが、だんだん正解に近づく原因になってしまうので無効化します。
ログイン失敗を繰り返すIPを一定期間ロックします。
こんな感じでロックの履歴が出ます。向こうにはエラーページ出てるのでしょうか。攻撃してきてるIPだし晒してしまおう。2秒ごとにアクセスしてきてるのでプログラムですね。
ログインがあった際に管理者宛にメールがきます。試しに弟がログインするたびにメールが来るので邪魔すぎてオフにしました。
正しい入力を行なってもログインを一回失敗します。会社のホームページ作った時になんで合ってるのに絶対一回失敗するんだ？バグか？って憤っていたのを思い出しました。
XMLRPCを調べましたがよくわかりませんでした…XMLをhttp送信して動的にシステムにアクセスするアプリケーションのことっぽいですが。wordpressのプラグインにも使用されているものもあるようで、いい使い方も悪い使い方もあるみたいです。まぁなんでもそうですが。
記事検索の際にユーザーidからログイン用のアカウント名が漏れないようにするものだとかなんだとか…そういうものを使ってなければオフでいいものっぽいです。筆者が増えてくると必要になりそうです。
wordpress本体やらプラグインの更新がある際に管理者にメールがきます。これデフォルトの機能だと思ってうざいけど我慢してましたわ…オフにしよう。
レンタルサーバーにはWAF(Web Application Firewall)ってのがだいたい備わっていて、Webで動作するアプリケーションをブロックするのですが、自分で設定するのが面倒なのでこいつでルールを設定してくれるみたいです。ブロックされてから考えればいいかって感じですね。
そのまま。なんというアカウント名でどこのIPの人がログインしようとしたか、その成否、何を使ってログインしようとしたかが1万件まで閲覧できます。
これを入れた瞬間毎日早朝に何秒かごとにログイン攻撃をめちゃくちゃ受けていることがわかります。攻撃してくる人の目的はなんなんでしょうか…
年明け早々びっくりしたというお話でした。会社のホームページたまたまだけどちゃんとしといてよかったです。大きな会社だと決算発表やらの開示があったりするので万が一乗っ取られたりしたら終わりですよね。どこまでこういうCMSを信用して使うのか非常に判断が難しいです。
お客様（かなり大きい）のホームページはCMSを使わない完全に静的に運用していますし、一番のセキュリティ対策はやはり静的ホームページの運用にかぎりますね。かといってみんな知識があるわけではないし…
大事な話だったので長くなりましたが、次回は入れたらめちゃくちゃ便利だったプラグインを紹介していきたいと思います。
お仕事のご依頼やご相談、弊社サービス内容に関してなど、お気軽にご相談ください。
株式会社プラン・ドゥ
〒550-0001
大阪府大阪市西区土佐堀1-6-20 新栄ビル5階
TEL : 06-6441-5481 FAX : 06-6441-6038
Google Map
株式会社プラン・ドゥ
〒550-0001
大阪府大阪市西区土佐堀1-6-20 新栄ビル5階
TEL : 06-6441-5481 FAX : 06-6441-6038
Google Map
