123Server株式会社
WordPressについて
- サポート
- よくある質問
- WordPressについて
- WordPressのハッキング対策について
- WordPressのハッキング対策について
-
国内IP分散サーバー、海外IP分散サーバーではいずれもWAF（ウェブ・アプリケーション・ファイアウォール）が導入されています。
WAFは不正アクセスによるサイトの改ざんや情報漏洩を防ぐ機能で「同じIPアドレスから対象のドメインに対して、何度もエラーを繰り返す」「登録されている不審なパターンのアクセスを繰り返す」「SQLインジェクションアタック」「ブルートフォースアタック」などのアクセスをブロックし、サイトへの不正なアクセスを防止します。ただし、WAFは全ての脆弱性に対する攻撃を防止できるものではございません。
また、旧バージョンのWordPressなどスクリプトの脆弱性が修正されていないサイトの場合、その脆弱性をついて不正アクセスが行われる場合がございます。
WordPressをご利用の場合はWAFと併せてWordPressのバージョンを最新に保つようお願いいたします。【重要】
WordPressは世界中で最も利用されているCMSソフトです。
ソースコードは世界中に公開されており、常にWordPressの脆弱性を狙ったハッキングの危険性を帯びています。WordPressをご利用の場合、サイト管理者様の責任の上、必ずハッキング予防の対策をとっていただきますようお願いいたします。
WordPressのハッキング予防策
- WordPress本体、プラグイン、テーマファイルは必ず最新のものをご利用ください。
- ハッキング防止、不正ログイン防止のプラグインを導入してください。
- wp-login.php、xmlrpc.phpなどハッキングの対象となるファイルに関しまして、.htaccessファイルを利用しアクセス制限を導入してください。
設置例）グローバルIPアドレス「123.123.123.12」のみログインを許可
<Files “wp-login.php”>
order deny,allow
deny from all
allow from 123.123.123.12 // 御社IPを記述
</Files> - xmlrpc.phpファイルを利用しない場合は、ファイルの無効化もしくは削除してください。
- 万一に備え、定期的にバックアップをとると安全です。
ご利用のWordPressがハッキングされた場合
ハッキングが判明した場合、2次感染防止のため直ちにサイトを停止してください。
ハッキングされたサイトには下記の様な特徴があります。
- 見覚えの無いファイルがアップロードされている
- サーバー内に身に覚えのないフォルダが設置されている
- サイトにアクセスすると500エラーが表示される
- サイトのソース内に身に覚えのないjavascriptが挿入されている
- ドメインをsite:*****.com で検索し、検索結果をクリックすると違うサイトにリダイレクトされる
【WordPressのハッキングされた場合の対策】
- サーバー内のすべてのファイルを確認していただき、心当たりの無いファイルやタイムスタンプが他のファイルに対して新しいファイルは改ざんや不正設置が行われていないかご確認ください。
- サーバー上のすべてのファイルを削除の上、感染していないファイルをアップロードしてサイトの再構築をおこなってください。
- WordPressをご利用の場合、wp-login.phpファイルやxmlrpc.phpファイルに対して自社以外からはアクセスできないような設定をご検討ください。
例）.htaccessファイルでのIPアドレスブロックなど - ハッキング予防のプラグインの導入をご検討ください。
- WordPressの本体ファイル、プラグイン、テーマファイルなどのファイルは常に更新を行い、最新バージョンをご利用ください。
対策完了後は弊社まで御連絡頂きますようお願い致します。 - 修正完了後、ログインIDやパスワードには、必ず現在設定されているものとは異なるものを再設定してください。
【WordPressのハッキング対策の再構築方法例】
ハッキングが確認された場合、マルウェアスキャンによるマルウェア駆除後も、マルウェアパターンに合致しない不正なファイル設置や既存ファイルの改ざんの可能性が高い状態となります。
このため、ハッキングが確認された場合、サーバー上のファイルをすべて削除の上、ローカル環境から感染していないきれいなファイルを再アップロードしてのサイトの再構築を強く推奨いたします。
下記ではサーバー上のファイルをすべて削除の上、サイトの再構築を行う際の再構築例をご案内します。
- サーバー上のwp-config.phpファイルのデータベース情報、データベースユーザー情報、データベースパスワード、テーブルの設定後（プレフィックス）の4個の情報をひかえます。
- wp-contentフォルダをダウンロードし、画像ファイルやテーマファイルなど、必要なデータをバックアップします。
- サーバー上のファイルをすべて削除します。
- FTPソフトなどできれいなファイルをアップロードし、インストールウイザードで（1）でひかえた情報を入力します。
- 管理画面にログインし、テーマおよびパーマリンクの再設定を行います。
- バックアップした画像ファイルを、もとのサイトのパスの通りの構成でアップロードします。
以上でサイトの再構築は完了です。
キーワードからよくある質問・マニュアルを検索できます。
