InfoSec After ~Case 'WordPress'~
•
0 likes•463 views
2015年2月のWordPress もくもく会@Co-edoにて行ったWordPressのヘッドライン的なスライドです。
Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Similar to InfoSec After ~Case 'WordPress'~
More from Daisuke Takahashi
Recently uploaded
Recently uploaded (9)
InfoSec After ~Case 'WordPress'~
- 1. InfoSec After ~Case WordPress~ Daisuke Takahashi Presents 8th February, 2015, WordPress Moku-moku Workshop @ Co-edo
- 3. マジメな話を期待した方
- 4. ゴメンナサイ
- 6. ご安心を
- 8. InfoSec After • 「InfoSec After」(インフォセック・アフター)とは、情報セキュリ ティ関係者が絶対に語りたがらない、情報セキュリティ対策を 講じたその後の『アフターストーリー』。 • 普段は、closedなイベントで、取った対策別に分けてご紹介して います。 • 今回は特別編「Case WordPress」ということで、情報セキュリ ティに詳しくないWPユーザ向けに過去ネタから4つを再構成。
- 9. Pattern 1
- 10. Pattern 1: Strong Credentials あるブログTに「ユーザ名はadmin以外で、パスワードは数字と 記号を含めたものにしましょう」と書いてあり、それに従った。
- 11. Pattern 1: Strong Credentials パスワードが分からなくなった＼(^o^)／
- 12. Pattern 1: Strong Credentials 当然ですが、 パスワードリセットのページを開いて、リセットします。
- 13. Pattern 1: Strong Credentials 当然ですが、 パスワードリセットのページを開きます。 鉄板ネタ？
- 14. Pattern 1: Strong Credentials そんなことございません。
- 15. Pattern 1: Strong Credentials 新しいパスワードの書かれたメールを確認しようと、 inboxを開く。
- 16. Pattern 1: Strong Credentials 新しいパスワードの書かれたメールを確認しようと、 inboxを開く。 分かりました？
- 17. Pattern 1: Strong Credentials サーバの設定が間違っていて、 メールが届かない！
- 18. Pattern 1: Strong Credentials One more thing…
- 19. Pattern 1: Strong Credentials サイト管理者だけど、サーバ管理者じゃ ないｗｗ
- 20. Pattern 1: Strong Credentials • 結果: サーバ管理者が設定を修正するまで何もで きませんでした。 • 予防策: セットアップ時にメールが届くことを 知っておけば、そのメールが届かなかったことで、 設定の異常に気が付くことができた。
- 21. Pattern 2
- 22. Pattern 2: Hide Version あるブログOに「攻撃者の標的になりやすいから<head>内のバー ジョン表示は隠した方がいい」と書いてあり、それに従った。
- 23. Pattern 2: Hide Version あるブログOに「攻撃者の標的になりやすいから<head>内のバー ジョン表示は隠した方がいい」と書いてあり、それに従った。 どこか問題あった？
- 24. Pattern 2: Hide Version 古いバージョンのWordPressを使用している際に、 Google Webmaster Tools で表示されるはずの警告が出なかった。
- 25. Pattern 2: Hide Version
- 26. Pattern 2: Hide Version その上、コアやプラグインのバージョンの更新を怠っていた。
- 27. Pattern 2: Hide Version • 結果: 攻撃者はその程度ではめげないので、逆に セキュリティホールを防げずに、見事クラックさ れ、改ざんの被害にあった。 • 予防策: 管理画面の更新通知には従うこと。 • 注: 現在は自動更新機能があります。この機能を無効化せず、 正しく動作することの確認をしましょう。
- 28. Pattern 3
- 29. Pattern 3: Limit IP Address あるブログLに「管理画面にログインできるIPアドレスを自分のIP アドレスのみに制限した方がいい」と書いてあり、それに従った。
- 30. Pattern 3: Limit IP Address あるブログLに「管理画面にログインできるIPアドレスを自分のIP アドレスのみに制限した方がいい」と書いてあり、それに従った。 これはいいでしょ！
- 31. Pattern 3: Limit IP Address ISPの固定IPアドレスサービスに加入していなかった or 外出先で作業した
- 32. Pattern 3: Limit IP Address • 結果: 数時間後、IPアドレスが変わってしまい、 ログインできなくなりとても苦労した。 • 予防策: なぜ、そんな無駄なことした？そのIPア ドレスはあんたの所有物じゃねぇ。
- 33. Pattern 4
- 34. Pattern 4: Custom Table Prefix あるWikiに「データベースの接頭辞はデフォルトの”wp_”から変え ておいた方がいい」と書いてあり、それに従った。
- 35. Pattern 4: Custom Table Prefix SQLインジェクションを何とか妨害したいらしい。 (パスワード欄に「1′ or ‘1’=’1」って入れるやつ。)
- 36. Pattern 4: Custom Table Prefix SQLインジェクションを何とか妨害したいらしい。 (パスワード欄に「1′ or ‘1’=’1」って入れるやつ。) 素晴らしい対策だ！
- 37. Pattern 4: Custom Table Prefix SQLインジェクションの脆弱性の存在が前提なんだ…
- 38. Pattern 4: Custom Table Prefix じゃあ、1′ or ‘1’=’1; SHOW TABLESとかどうでしょ？ テーブル名の一覧が出てきますよ？
- 39. Pattern 4: Custom Table Prefix +----------------------+ | Tables_in_wordpress | +----------------------+ | myprefix_commentmeta | | myprefix_comments | | myprefix_links | | myprefix_options | | myprefix_postmeta | +----------------------+
- 40. Pattern 4: Custom Table Prefix • 結果: 普通にクラックされ、同じデータベース内 の別のソフトウェアの情報も奪取された。 • 予防策: そもそもSQLインジェクションの脆弱性が あったらどうしようもない。
- 41. いかがでしたでしょうか？
- 42. こんなのマシです。
- 44. 一番大切なこと
- 48. 最後にちょこっと宣伝
- 52. Thank you for your kind attention.