WordPress で Web サイトの制作を請け負って保守契約も結ぶときに意識しておいたほうが良い5つのこと
反応をウォッチしていると「WordPress を導入する場合、セキュリティを考えると当然システム保守契約を結んで保守することが必要」という意見がちらほらあって、僕としてもそれは当然のことでむしろやっていない人は作成した後えらいことになってないのか少し心配になったりしてしまうのですが、じゃあクライアントと保守契約を結べたとしてどういうことに気をつけたほうが良いかということを少し書いてみたいと思います。 コア・プラグインのアップデートは必ず実施する 大前提すぎてあれなのですが、セキュリティを維持して攻撃を防ぐためにお客様にシステム保守契約を結んでいただくわけなので、コアやプラグインのバージョンアップは必ず行わないといけません。企業さんのサイト制作の場合だとテーマはオリジナルのことが多いと思いますが、テーマも自作でないのであればきちんとアップデートするべきです。 「コアの自動アップデートをとめる
ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]
WordPressのセキュリティ設定に関するブログ記事は山ほど見かけますが、今回はよく発生する改ざんについて「効果が高い」「比較的カンタンに出来る」「費用がかからない」という視点でピンポイントに対策したいと思います。 不正アクセスの目的と手口 そもそも何が目的で不正アクセスをしようとしてくるのか？ 自分も含めいろいろな改ざん報告を見ると、 改ざん者が関連しているウェブサイトへ誘導するスクリプトをこっそり書いていく 投稿の本文の文中にサイトへの誘導リンクを書き込む メールを自動送信するプログラムが書いてあるファイルをテーマディレクトリ内に置かれる というケースが多いようです。 効率良く改ざんするための手順 それでは、上記の事を達成するのに効率が良いのはどんな方法か？ 現実的に考えて、人間が手動で一つ一つのサイトにハッキングを試みるのはどう考えても効率が悪いです。そんな事をするくらいなら時給で
![ハッカー（クラッカー）の気持ちで考えるWordPressのセキュリティー対策 | 無料WordPressテーマ BizVektor [ ビズベクトル ]](https://cdn-ak-scissors.b.st-hatena.com/image/square/f766f5261227a22c288258afdfb88c6481b833da/height=288;version=1;width=512/https%3A%2F%2Fbizvektor.com%2Fwp-content%2Fuploads%2Fsec1-1024x538.jpg)
WordPressに仕込まれたマルウェアのコードが恐ろしすぎた
『Googleから「マルウェアに感染している」という警告が届いたので、調査して欲しい』という依頼を受けて、とあるサイトの調査をしたところ、どうやらWordPressにマルウェアが仕込まれている模様。 かなり時間を掛けて広範囲にヤラれていたので、マルウェアをすべて取り除くのに苦労したのですが、その際に見付けたマルウェアが中々恐しいものだったので、ここに書き残しておきたいと思います。 なお、真似してマルウェアを作られても困るので、ソースの一部を画像で載せることにします。 ## マルウェアのソースを人間に読めるようにしてみる では、早速マルウェアの中身を見てみましょう。 まず、いきなり始まるコメント行。そして、長くて一見ランダムに見える文字列。 そして2行目でランダムに見える文字列を base64_decode() し、eval() しています。base64_encode()しているのは、ソース
DoSの踏み台にされているJPドメインのWordPressをまとめてみた - piyolog
Krebsが自分のサイト(KrebsOnSecurity)に対して41,000超のWebサイトからDoSを受けていると報告しています。 このDoSはWoredpressのpingbackを悪用したものらしく、先日、Sucuriもpingback機能を悪用したDoSについて報告していました。 More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack WordPressの16万サイトが大規模攻撃の踏み台に、「Pingback」機能悪用 - ITmedia エンタープライズ pingbackを悪用したDoS方法 pingbackはハイパーリンクを設置したことを通知する仕組みですが、リモート投稿(XMLRPC)の機能（WordPressのxmlrpc.php）に対して次のPOSTを送信するとそのW
ハッキングされてると教えた親切な人にGMO熊谷社長が「風説の流布」だとぶちギレた結果ｗｗｗｗｗｗ : IT速報
999:名無しのプログラマー 2099/99/99 99:99:99 ID:ItSoKuHou ロリポップなどGMO系のレンタルサーバーで運用されているWordpressのブログが軒並み乗っ取られる事件が起きました。 その件についてTwitterとブログで注意喚起をした@Isseki3氏にGMOの熊谷社長が「風説の流布になるぞ」と噛み付きます。 そして翌日公式から「ロリポップ！レンタルサーバー」で第三者から「大規模攻撃」を受け、WordPressを利用している一部ユーザーのサイトが改ざんされる被害が発生したと発表ｗｗｗｗ一部といってもなんと（8,438件）ですｗｗ 追記： 8月28日 20時58分 Isseki Nagae ＠Isseki3 ロリポップとinterQの共有MySQLからクラックされて多数のサイトが乗っ取られている件、GMOの明日の株価はヤバイと思う・・・たぶん顧客の大量流出
WordPressのセキュリティをアップする11のポイント
WordPressのセキュリティをアップする11のポイントをPro Blog Designのエントリーから紹介します。 11 Best Ways to Improve WordPress Security セキュアなデータベースを構築する。 他のアプリケーションと共有しないWordPressのためだけのデータベースを使用する。 データベースへのアクセスは限定する。 データベースのパスワードは強固なものにする。 「wp-config.php」の設定。 セキュリティキーを設定する。 セキュリティキーツール 1.1でランダムなキーが生成されます。 テーブル名の接頭辞（$table_prefix）を「wp_」以外のものに変更する。 管理画面のユーザー名にデフォルトの「admin」を使用しない。 ユーザー名はphpMyAdminなどで変更できます。 管理画面のパスワードは複雑なものにする。 英数記号
簡単な作業でWordPressのセキュリティをアップするチップス
ブログツール「WordPress」のインストール時に、簡単な作業でセキュリティをアップするチップスをWP Engineerから紹介します。 Small Security Tipps for your WordPress Install 以下、そのポイントを意訳したものです。 はじめに WordPressの標準のインストールは非常に簡単で、WordPressの人気の要因の一つともいえます。しかしながら、インストールを行う際に少し手を加えることで、不正なアクセスをより難しいものにすることができます。 テーブルのプレフィックス DBで使用するテーブルのプレフィックスを標準の「wp_」から異なる文字列に変更します。 設定方法 「wp-config.php」の「$table_prefix = 'wp_';」の「wp_」を変更します。 認証用ユニークキー WordPressの安全性をアップするために、
WordPressを安全に運営するための10のTips | コリス
noupeのエントリー「Wordpress Security Tips and Hacks」から、WordPressを安全に運営するための10のTipsを紹介します。 Wordpress Security Tips and Hacks 追記： 2008年2月20日 9の「FilesMatch」の記述を修正しました。 併せて「FilesMatch」の関連リンクを追加しました。 タロタローグ ブログ さん、ありがとうございました。 全てのユーザーにサーバー全部の検索を許可しない。 「search.php」で下記の検索コードは使用しない。 <?php echo $_SERVER ['PHP_SELF']; ?> 代わりに下記のコードを使用する。 <?php bloginfo ('home'); ?> 「wp-」がついているフォルダをサーチエンジンなどに登録されないように、「robots.
wp-config.phpファイルの設定いろいろ | コリス
WordPressをインストールしたことのある人は、「wp-config.php」ファイルにデータベースやシークレットキー、言語などを設定したことがあるでしょう。 これらの設定はもちろん大切ですが、他にも有用な設定がいろいろできるので紹介します。 10+ wp-config tricks to boost your WordPress site 下記は各ポイントを意訳したものです。 「wp-config.php」設定の前に FTPのパスワードの入力を省略 FTPの情報を保持 テーマやプラグインの編集エディタの使用禁止 スパムコメントのゴミ箱を自動で空に WordPressの引越しに役立つテクニック WordPressのメモリの上限を変更 データベースの自動修復 エラーメッセージを非表示に 管理画面はSSLでアクセス 外部からのリクエストをブロック ウェブサイトのURLを定義 自動保存の間隔
WordPressをセキュアに保つための10の方法 | Web活メモ帳
先日ですが、友人のWordPressが攻撃にあい、フィッシングサイトに利用されるという事件がありました。 サーバー会社に問い合わせをした所、FTPのログインが海外から合ったとの事。 パスワードがどこかから漏れていたのかもしれません。 怖いですね・・・ FTPパスワードが漏れた原因は分からなかったのですが、 出来る事はちゃんとやろうと思いました。 何かがあってからでは、遅いのですからね。 ・・・という訳で、WordPressで出来るセキュリティ対策を10個ご紹介。 プラグインも探してみたので情報をシェアします。 誰かのお役に立てれば幸いです。 1.WordPressを常に最新版に 一番の対策はこれです。WordPressはオープンソースのため、攻撃者はサーバーにどんなプログラムがあるか分かる状態になっています。 脆弱性が周知されているので、攻撃する側も簡単に出来ちゃうんですね。 必ず、最新版
ヤバイWordPressテーマを見分けるための方法 | Firegoby
前回、”free wordpress themes”って検索してテーマを探すと超ヤバイよ という記事を書きました。 お陰様でとても拡散したんですが、危険なテーマを見わけるための検証方法を伏せたのが裏目でちょっとあれだったので、それについて解説します。 Theme Authenticity Checker (TAC) によるチェック WordPress › Theme Authenticity Checker (TAC) « WordPress Plugins 結論から言いますが、このプラグインによるチェックでは不完全でした。 実際に “free wordpress themes” で Google 検索して出てくる１つ目（苦笑）の ”http://www.themesbase.com/” というサイトのテーマで検証してみましょう。 今回は、このサイトの一つ目で紹介されている Pioneer
最新版クレジットカードおすすめランキング！すぐに使えるのはこれ！
この記事では、最新版クレジットカードおすすめランキング10選について解説します。 クレジットカードは、商品を購入する際に所持金がなくても後から代金が支払えるカードです。 ポイント還元などさまざまな特典があるクレジットカードですが、カードによって特徴が異なるため、あなたに合うクレジットカードを選択するのは容易ではありません。 この記事で分かること オススメクレジットカードを口コミや年会費、ポイント還元率で選出 ポイント還元率が0.5％以上は還元率がよい ポイントアップがあるクレジットカードはポイントが貯まりやすい クレジットカードを初めて発行する人は年会費やポイント還元率に注目する 旅行や出張が多い人は旅行傷害保険が手厚いクレジットカードを選択する セキュリティを重要視する人はナンバーレスカードを選択する 2枚目のクレジットカードを作成する際は1枚目にない特典があるカードを選択する それぞれ
WordPress: 管理画面への不正アクセスを予防する「Simple Login Lockdown」 | Hinemosu
WordPress管理画面への不正アクセスを予防するプラグイン「Simple Login Lockdown」を使ってみました。 「Simple Login Lockdown」について 「Simple Login Lockdown」は、パスワード総当たり攻撃に対抗するプラグインです。 標準的な構成のWordPressでは、ログイン画面のアドレスや管理ユーザー名が推察しやすいため、自動化プログラムを用いた総当たり攻撃により、パスワードが盗まれやすいと言った弱点があります。 「Simple Login Lockdown」は、同一IPアドレスからの連続ログイン失敗を検出すると、該当IPアドレスから一定時間ログインできないようします。 これにより攻撃側の時間を浪費させ、管理者が対策する時間を稼げるようになります。 「Simple Login Lockdown」のインストール 「Simple Logi
Wordpressのセキュリティ関連メモ (後で見る) / Maka-Veli .com
wp-login.phpの変更 WordPressブログを自己防衛、ログインページに触れさせない [解決済み] wp-login.phpのパーミッションとファイル名変更 – WordPressフォーラム セキュリティの為、管理画面を別名にしたら問題が出るでしょうか？ - WordPressフォーラム 不正アクセスはある日突然やってくる – おきらくサーバー運用メモ WordPress セキュリティ wp-login.php にアクセス多発を防ぐ方法 – Linux & App Labs By pt106 あぁ、なるほど。IP制限だけでなくてもBASIC認証かけて2重にしとくって手も良いですね。 プラグイン 2012年開幕版！これでモウダイジョーブなWordPressプラグイン集 最強77選 WordPressのセキュリティ関連のプラグイン28個 – わーどぷれすっ！ セキュリティを強化す
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
