WordPressプラグインを狙う攻撃が活発化している件をまとめてみた - piyolog
「Yuzo Related Posts」など人気のWordPressプラグインを狙った攻撃活動が観測されているとしてセキュリティベンダが注意を呼び掛けており、また国内でも関連が疑われる被害報告が上がっています。ここでは関連する情報をまとめます。 3月以降脆弱性が確認されたプラグイン 2019年3月以降、脆弱性の悪用が報告されたプラグインは次のもの。 No 報告日 対象のプラグイン インストール数 バージョン 脆弱性 1 2019/03/15 Easy WP SMTP 40万件超 1.3.9以前 管理者への特権昇格 2 2019/03/21 Social Warfare 6万件超 3.5.2以前 XSS（格納型）、任意コードの実行 3 2019/03/30 Yuzo Related Posts 6万件超 5.12.91以前 XSS（格納型） 4 2019/04/09 Visual CSS S
WordPress 4.7.1 の権限昇格脆弱性について検証した
エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見つかったと発表されました。 こんな風に書くと、WordPressの脆弱性なんてしょっちゅう見つかっているという意見もありそうですが、能動的かつ認証なしに、侵入できる脆弱性はここ数年出ていないように思います。そういうクラスのものが久しぶりに見つかったということですね。 WordPress、更新版で深刻な脆弱性を修正 安全確保のため情報公開を先送り Make WordPress Core Conten
WordPressの侵入対策は脆弱性管理とパスワード管理を中心に考えよう
この記事はWordPress Advent Calendar 2015の7日目の記事です。 今年初めてWordCamp Tokyoにて講演の機会をいただき、WordPressのセキュリティについて話しました（スライド）。そこでもお話ししましたが、WordPressに限らず、Webサイトへの侵入経路は2種類しかありません。それは以下の2つです。 ソフトウェアの脆弱性を悪用される 認証を突破される したがって、侵入対策としては以下が重要になります。 全てのソフトウェア（OS、Apache等、PHP、WordPress本体、プラグイン、テーマ等）を最新の状態に保つ パスワードを強固なものにする 以上! と叫びたい気分ですが、それではシンプル過ぎると思いますので、以下、WordCampでお話した内容とリンクしながら、もう少し細く説明したいと思います。 全てのソフトウェアを最新の状態に保つ Word
３年程運営していたwordpressのブログがウイルス感染して一瞬で消滅した : 宇佐美典也のブログ
宇佐美典也のブログ 宇佐美典也（うさみのりや）です。1981年、東京都生まれ➡暁星高校➡東京大学経済学部➡経済産業省➡ブロガー・ニート➡再生可能エネルギー業界の端っこ（今ココ）なにかあればinfo@unyconsulting.comまでご連絡を。 お問い合わせ プライバシーポリシー 個人情報保護方針 去る2015年9月19日、サーバーを借りているlolipopから通知が有りまして３年間程運営していたブログがウイルス感染のためあっけなく閉鎖することになりました。 9月15日頃にいわゆるボットが発動したものと思われ、私が借りていたサーバーから大量にSPAMメールが撒かれていたようです。以下9/15から9/16にかけてlolipopから通知があった撒かれたスパムメールの件数です。 （9/15 ） 21:39 ➡ 314通 22:12 ➡ 335通 23:09 ➡ 306通 （9/16） 0:18
WordPressに仕込まれたマルウェアのコードが恐ろしすぎた
『Googleから「マルウェアに感染している」という警告が届いたので、調査して欲しい』という依頼を受けて、とあるサイトの調査をしたところ、どうやらWordPressにマルウェアが仕込まれている模様。 かなり時間を掛けて広範囲にヤラれていたので、マルウェアをすべて取り除くのに苦労したのですが、その際に見付けたマルウェアが中々恐しいものだったので、ここに書き残しておきたいと思います。 なお、真似してマルウェアを作られても困るので、ソースの一部を画像で載せることにします。 ## マルウェアのソースを人間に読めるようにしてみる では、早速マルウェアの中身を見てみましょう。 まず、いきなり始まるコメント行。そして、長くて一見ランダムに見える文字列。 そして2行目でランダムに見える文字列を base64_decode() し、eval() しています。base64_encode()しているのは、ソース
DoSの踏み台にされているJPドメインのWordPressをまとめてみた - piyolog
Krebsが自分のサイト(KrebsOnSecurity)に対して41,000超のWebサイトからDoSを受けていると報告しています。 このDoSはWoredpressのpingbackを悪用したものらしく、先日、Sucuriもpingback機能を悪用したDoSについて報告していました。 More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack WordPressの16万サイトが大規模攻撃の踏み台に、「Pingback」機能悪用 - ITmedia エンタープライズ pingbackを悪用したDoS方法 pingbackはハイパーリンクを設置したことを通知する仕組みですが、リモート投稿(XMLRPC)の機能（WordPressのxmlrpc.php）に対して次のPOSTを送信するとそのW
自動バックグラウンドアップデートを止める方法
一応、日本語情報が見つからなかったのでメモ。3.7から管理画面の「更新」ページから手動で実行しなくても、勝手にバージョンアップしてくれる自動バックグラウンドアップデート機能が実装されました。アップデートがチェックされるのは、コアファイル、テーマ、プラグイン、翻訳の４つです。テーマ、プラグイン、コアのメジャーバージョンは自動アップデートがデフォルトでオフになっていますので、コアのマイナーバージョンと翻訳が今のところ自動アップデートの対象です。 自動アップデートはwp-config.phpに以下追記で停止できます。 define( 'AUTOMATIC_UPDATER_DISABLED', true ); ただし、セキュリティを高めるために特別な理由がない限り止めない方がよいです。何となく怖いから止めておくというのはナンセンスな態度です。WordPress.orgからダウンロードしたテーマやプ
当社「ロリポップ！レンタルサーバー」における 第三者によるユーザーサイトの改ざん被害に関するご報告 | お知らせ | ニュース | GMOペパボ株式会社
当社の運営するレンタルサーバー「ロリポップ！レンタルサーバー」（以下「ロリポップ！」）が、海外からの攻撃を受け、お客様のウェブサイトが改ざんされる事案が発生いたしました。 現在調査および対策は完了しており、対策完了後の新たな被害は確認されておりません。 お客様をはじめとする関係者の皆様に多大なるご迷惑とご心配をお掛け致しますこと、深くお詫び申し上げます。 また、8月28日の発生から正確な被害状況の確認や対策に、お時間を要してしまいましたことを重ねてお詫び申し上げます。 当社では、今回の事態を厳粛に受け止め、再発防止策を講じ、お客様の信頼回復に全力で取り組む所存でございます。 1. 発生した事象 2013年8月28日「ロリポップ！」において、WordPress で作成されたユーザーサイトが改ざんされる被害が発生。 2. 影響範囲 ページの改ざんが確認された件数 8,438件 3. 改ざんの内
ロリポップの一連の改ざんトラブルで大変なことになった僕の記録 - すしぱくの楽しければいいのです。
公開日：2013年9月 5日 カテゴリ：Web制作に役立つネタ ぱくたそサーバー（Pleskなど）のヘルプデスクをお願いしているエンジニアの方と『サーバーを借りる際、「サポートだけにはしっかり費用が払える」を目安にしたいですよねー。』などと、安さ爆発のロリポップをつまみに盛り上がっていたら、『いやぁ、あのトラブルは本当に大変でした・・・』っという苦労話が実によくあるケースだったので、警鐘を兼ねて寄稿していただきました。('A')ﾉ ロリポップ大規模ＤＢ改ざんについて 寄稿のお話の前に、今回発生したロリポップ大規模ＤＢ改ざんを簡単にまとめると。 【緊急警報!!】ロリポップとGMOのinterQのWordPressが軒並み乗っ取られてます | More Access! More Fun! サイトが改竄されている → ＷＰサイトが乗っ取られてる？脆弱性か？ → ロリポップ公式から「ハッキングされ
ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策
既に報道されているように、ロリポップ！レンタルサーバーに対する改ざん攻撃により、被害を受けたユーザー数は8428件にのぼるということです。ここまで影響が大きくなった原因は、報道によると、(1)「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされた、(2)パーミッション設定の不備を悪用されて被害が拡大した、ということのようです。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用されたことが原因だったことを明らかにした。 「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備
「ロリポップ」のWordPressサイト改ざん被害、原因はパーミッション設定不備
「ロリポップ」でWordPressユーザーのサイトが改ざんされた問題で、paperboy＆co.は原因がパーミッション設定の不備にあったことを明らかにした。 paperboy＆co.のレンタルサーバサービス「ロリポップ！レンタルサーバー」への攻撃でWordPressを利用している一部ユーザーのサイトが改ざんされた問題で、同社は8月30日、原因について同社によるパーミッションの設定に不備があったことを明らかにした。被害を受けたユーザー数は当初の4802件から8428件に修正している。 29日夜の時点では、攻撃者の改ざん手法について「WordPressのプラグインやテーマの脆弱性を利用」し、不正なファイルがアップロードされて「wp-config.phpの」の設定情報が抜き出されたと説明していたが、30日午後7時過ぎの説明で、この脆弱性が侵入経路となって同社のパーミッション設定の不備を悪用された
ロリポップ騒動から、AWS移行で死んだ日
昨日は疲れました。死んだといっても過言では無い。このサーバもほとんど落ちた。１日のアクセス数60000人。ただしアドセンスはたいしたことない。だってみんな必死で検索してるんだもの・・・。 ここいうツイートで癒やされました・・・涙 ロリポップと契約していた顧客がロリポップのサーバ改ざん発表のあとで直撃弾くらいました。ショップでなくてブログだったので引っ越しを先に考えていたのが甘かったです。それもパスワードを複雑にして２段階認証を設定して、wp-config.phpも推奨通り404にしていてやられました。のちにロリポップ側で400に強制変更したようだが、404だってそうそう入れるものじゃ無い。侵入されたサイトのバックアップを直前に取ってあったので、時限爆弾の可能性もあるなとエンジニアが半日かけて精査したけどないようでした。ログイン画面からプルートフォースアタックで入って来たわけではないのは確か
ハッキングされてると教えた親切な人にGMO熊谷社長が「風説の流布」だとぶちギレた結果ｗｗｗｗｗｗ : IT速報
999:名無しのプログラマー 2099/99/99 99:99:99 ID:ItSoKuHou ロリポップなどGMO系のレンタルサーバーで運用されているWordpressのブログが軒並み乗っ取られる事件が起きました。 その件についてTwitterとブログで注意喚起をした@Isseki3氏にGMOの熊谷社長が「風説の流布になるぞ」と噛み付きます。 そして翌日公式から「ロリポップ！レンタルサーバー」で第三者から「大規模攻撃」を受け、WordPressを利用している一部ユーザーのサイトが改ざんされる被害が発生したと発表ｗｗｗｗ一部といってもなんと（8,438件）ですｗｗ 追記： 8月28日 20時58分 Isseki Nagae ＠Isseki3 ロリポップとinterQの共有MySQLからクラックされて多数のサイトが乗っ取られている件、GMOの明日の株価はヤバイと思う・・・たぶん顧客の大量流出
ロリポップのハッキング被害ドキュメント①：復旧のため実施した作業内容
2013年8月28日の午前、当ブログ「りくまろぐ」はハッキング被害に遭い、一時的にブログが表示されない状態となっておりました。 調査していくうちに背筋の凍る思いがしました。まさか自分のサイト（ブログ）がハッキング被害に遭うなんて夢にも思っていませんでした。 ブログが破壊されたことに気付いて、ものすごく落ち込みました。セキュリティ対策などもほとんど無知で、WordPressについても勉強を始めたばかりの初心者でしたから、何をどうすれば良いのか全く分からず、放心状態になりました。 今回の記事では、ハッキング被害が判明した経緯と、復旧させるまでの対応内容をまとめました。 繰り返しになりますが、セキュリティー対策に関しては知識がほとんどないため、今回の暫定的な対応についても「それは不要ではないか？」というものがあるかもしれません。 とにかく「やれることは全てやろう」という方針のもと、パニックになり
「ロリポがワードプレスを乗っ取られた！」批判ブログに対しロリポ先生「事実でなかったらどう責任を取るつもりか？株価にまで言及して責任とれるか？」深夜に絶叫ツイート(追記あり) : Birth of Blues
「謝罪の王様」オフィシャルブック 土下座の彼方まで~黒島譲に学ぶ謝罪の極意~ ※追記でオチを付けたので、一度見た方は文尾だけどうぞ。 余計なこというな、馬鹿者！って、殿様かよ。 子供じゃあるまいし、外部からの指摘や批判は敵でなく、口うるさい味方と捉えないと。 で、どうでもいいけど http://www.landerblue.co.jpという人はキャッシュプラグインとか入れんの？アドセンスでメシウマ以前に、重くてググるキャッシュ経由じゃないと読めないんですが。 はてなブックマーク - 【緊急警報!!】ロリポップとGMOのinterQのWordPressが軒並み乗っ取られてます | More Access! More Fun! via kwout 以下、感動で鳥肌モノのツイート。なんでいちいち非公式RTなのかは謎。（貼り順適当） どちらに非があれ、確認せず断言、ロジカルな話を感情で返す、断片的
ロリポップ上のWordPressをWAFで防御する方法 | HASHコンサルティングオフィシャルブログ
(2013/08/29)追記 ロリポップ上のWordPressが不正アクセスされる事例が増えているようです（参考）。現時点で侵入経路等は明らかでありませんが、以下に説明する方法で、公開ページに対するSQLインジェクション攻撃や、管理コンソールに対する不正ログインに対しては、かなり効果があると考えられます。ユーザーの参考になれば幸いです。また、タイトルを変更しました。 追記終わり 今年の9月27日から、ロリポップのレンタルサーバーの全プランで、WAF(SiteGuard Lite)が標準装備されるようになりました。 WAF（ウェブアプリケーションファイアウォール）を導入いたしました ロリポップ！レンタルサーバーはWAF標準装備です。 http://lolipop.jp/waf/より引用 これは大変良いことですね。インターネット上のすべてのサイトが攻撃の対象ですし、被害も増えている印象がありま
【緊急警報!!】ロリポップとGMOのinterQのWordPressが軒並み乗っ取られてます
さきほどWordPressフォーラム見てましたら、ぞっとするようなトピが立ちました。 サイト改ざん？ http://ja.forums.wordpress.org/topic/24503 サイトが急に文字化けになり、困っております；； Hacked by Krad Xinと黒の上部ツールバーにあり、サイトが改ざんされてしまったのでしょうか？ ハッカーの声明リストを見ると、日本のサーバで乗っ取った宣言のがずらり これはほんの一部です。おそらく数千、数万の被害が。 ※追記 DN乗っ取りでなければ数百〜千単位で済むかもしれないですが・・ただ攻撃は28日深夜から29日朝にかけても続き、被害は増大しています。 8/29 11時のリリースだと4802件だそうです。 くれぐれもリストにあるところは見に行かないように・・・感染してしまう可能性があります!! でもってドメインを検索して見ると、ほとんどがロリ
WordPress初心者向け セキュリティ強度をできる限り上げる方法
【緊急】WordPressでスマホ用WPtouch使ってる初心者は注意です というエントリー書きましたら、「どういうことに気をつけたらもっとセキュリティが上がるのでしょう」というお問い合わせを何人もの方からいただきました。わたくし、エンジニアではないのですが、わかる限りで対策を書かせていただきます。セキュリティ対策はユーザーID変えたから大丈夫、みたいなように考えると逆に危険。WordPressの場合、ユーザーIDはその気になればいろいろなところに出てくるので、機械的にアタックしてくる場合は別として、じっくりソースとか読まれてきたら同じです。 まず、WordPress搭載のサイトに対する執拗な攻撃は、一般的にはブルートフォースアタックと呼ばれております。 ブルートフォースとは、アタッカーがユーザー名とパスワードの組み合わせをランダムに入力し、ログインできるまでこれを繰り返すという攻撃手法。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
世界6万6000以上のサイトが改ざん被害、WordPressの脆弱性を悪用した攻撃を国内でも観測 
Webサイトをめぐるセキュリティ状況と効果的な防御方法(WordPress編)
