際際滷

WordPressのリスク砿尖
2015定6埖13晩及42指 WordBench寄昜
直紅巷壞�KITANI Kimiya� @kimipooh
奨脅寄僥�|掴アジア冩梢侭

@kimipooh
? ITよろず塁�寄僥縮�T�
? ヘルプディスク、コンサルティング、コ�`ディネ�`タ�`
? コンテンツマネ�`ジャ�`、ネットワ�`ク砿尖、サ�`バ�`砿尖
? デ�`タベ�`ス�_�k
? リアル竃短枠
? WordBench奨脅
? WordBench寄昜
? オンライン貧
? Gmail ヘルプフォ�`ラム
? Google Apps for Work ヘルプフォ�`ラム

WordPress との�vわりあい
? 竃氏い
? 2010定7埖9晩オ�`プンソ�`スカンファレンス2010 Kansai@Kyoto
? WordPressでのサイト��B
? 2012定4埖５つ揖�r羨ち貧げ
? WordPressコミュニティ
? 2012定5埖及5指 WordBench奨脅
? 2012定7埖及7指 WordBench奨脅でスピ�`カ�`�プラグインの巷塀リポジトリ鞠�h�
? 2013定1埖及13指 WordBench寄昜
? 2013定5埖及17指 WordBench寄昜でスピ�`カ�`�劣のWordPressをインスト�`ルした
よ��
プラグインと云悶のアップデ�`トが砿
尖パネルから否叟に竃栖る
16サイト�巷�_13�

まず恷兜に
100% 芦畠��
そんなシステムありません

リスクとは
? 個ざん�紗墾宀は�lだ��
? ログインされて???
? 巌樋來を好�弔気譴�???
? 坪何好�弔気譴�???
? 兜豚晒されて???�wp-
admin/install.php �し梨れ???�
? �嘛�三俺�
? システムをアップデ�`トしたら寔っ易
に???
? テ�`マ�筝釮靴燭蚯罎丹廚�???
? デ�`タ篤�p
? 猟忖晒け??
? �}方繁が嬉ち栽わせなく恬�Iして???
? 秤�鸞��
? うっかり巷�_
? /??/ のアクセスでフォルダ来�え
�Directory Index�
? 旋喘メ�`リングリストが巷�_されちゃって
た??
? 義�
? パスワ�`ド義��ログインが掲圧催�
? 砿尖デ�`タ?パスワ�`ドロックデ�`タ�掲
圧催�
? 極挑湖半
? 耶原ファイル�ウィルス�原きメ�`ルを�_
いた??
? ウェブサイトを�_いたら???

云輝に好�弔呂靴討�襪里�
4埖のエラ�`ログ�7,738) 周方
Directory index forbidden 20
/trackback/ 92
File name too long 24
PHP Fatal error
(Cannot redeclare class PHPMailer)
30
File does not exist 28
PHP Warning 71
PHP Notice (Use of undefined constant)
if ($lang == ja) ´. ～
if ($lang === ｀ja¨) ´ ?
114
Client denied 7,574 (97.9%)
� xmlrpc.php 74
� wp-login.php 3,077 (39.8%)
� /wp-admin/ 57
� themes/**/images/´jpg 4,255
� /´/ or /wp-content/´/吉 111

4埖のログ�wp-login.php� ブロック周方
�t��クライアント方: 90� 3,077
ウクライナ (5) 648
嶄忽 (3) 183
�n忽 (2) 120
�雇 (1) 60

? Crazy Boneプラグイン
畠く好�弔鯤椶韻覆い海�
は寇しい

�^肇のWordPressを尅り卦ると
? テ�`マでみる WordPress の�s雰
? 劣を��靴�
�C セキュリティ�v�Bフィックス -

テ�`マでみる
WordPressの�s雰
? テ�`マ堕�s
? 2003.05.27 兜豚�0.71-gold ? 1.0-platium�
? 2004.05.22 WordPress Classic�1.2-delta ? �
? 2005.02.17 KUBRCK�1.5-strayhorn�
? 2010.06.17 Twenty Ten �3.0?�
? WordPress と WordPess MU�y栽
? 2011.07.05 Twenty Eleven�3.2?�
? 2012.12.12 Twenty Twelve�3.5?�
? 2013.08.02 Twenty Thirteen�3.6?�
? 2013.12.14 Twenty Fourteen�3.8?�
? 2014.12.19 Twenty Fifteen�4.1?�
テ�`マも泡仟されていく

劣を��靴�
- セキュリティ�v�Bフィックス -
? 0.71-gold
? PHP5.3參週では�嘛�靴覆ぃ�$HTTP_GET_VARS旋喘�
? DB恬撹�rに仝utf8_unicode_ci々を苧幣�O協駅勣
? 1.0-platinum
? ログインパスワ�`ドの掲圧催
? 1.2-delta
? PHP5.4參週��鬈�$HTTP_GET_VARS ★ $_GET�
? ログインパスワ�`ドの圧催�MD5ハッシュ�
? 2.2
? DB_CHARSET, DB_COLLATE�DB孚栽�會�弖紗 wp-config.php
? 頼畠なATOMフィ�`ドが弖紗
? 2.3
? プラグインを根むアップデ�`ト宥岑�C嬬�ダッシュボ�`ド�
? 2.6
? 兜豚パスワ�`ドの�耕晒�7猟忖、哂方忖�寄猟忖弌猟忖根む��
★ 12猟忖、哂方忖�寄猟忖弌猟忖根む�、�催
? secret-keyが��襭�wp-config.php�
? 2.7
? secret-keyが�晒�SALTが弖紗�
? 2.8
? テ�`マのインスト�`ルが辛嬬に
? 3.0
? WordPressとWordPress MUの�y栽
? インスト�`ル�rに、砿尖宀ユ�`ザ�`とパスワ�`ド
を�筝釮任④襪茲Δ�
? 3.2
? �嘛�h廠�PHP5.2.4 /MySQL 5.0參週
? IE6のサポ�`ト�K阻
? 3.5
? XML-RPCが屡協で嗤�浸��o�尽O協が�えた�
? 3.6
? 徭�啀４�C嬬の弖紗
? 誘後ロック�C嬬
? 3.7
? 云悶、鍬�Uファイルの徭�咼▲奪廛禰`ト�C嬬
? 4.0
? 謹冱�Z俳り紋えが否叟に
? FORCE_SSL_LOGINの�峭�FORCE_SSL_ADMINとし
て�嘛��
? オレオレ�^苧��SSL徭失�^苧��蓮�JetPack
�B亊できないように???
? 4.2
? �}猟忖��

�櫃鼎�覆い�蕕海��貨が駅勣
�リスク嚠契
��^�E砿尖
�サイト痌�
WP砿尖宀が竃栖る��譴�???

とりあえずは???
徭�咼丱奪�▲奪廛轡好謄爐��Bしよう�
ちゃんと痌�任④泙垢茲唯。�

WordPressの児云��撹
WordPress
デ�`タベ�`ス�MySQL�
システム
テ�`マ
プラグイン燕幣
バックアップ��は貧�２つ
デ�`タ��O協�
�O協
wp-config.php

バックアップの徭�啝�
- WP-DBManager� -
? デ�`タベ�`スのバックアップのみ辛嬬
? 痌�盧��g

バックアップの徭�啝�
- BackWPUP� -
? デ�`タベ�`スとファイル�フォルダのバックアップ
? デフォルト�wp-content/uploads/backwpup-??-backups/
? 痌�亙��
? デ�`タベ�`スを痌�
? ファイル�フォルダの痌�

バックアップ枠の�x�k
1. �なるデバイスに隠贋
2. 屈�w侭參貧に???
1. �eハ�`ドディスク
2. 翌何ハ�`ドディスク
3. クラウド
4. サ�`バ�`徭悶の
バックアップ

ログイン堕�sを火す
? Crazy Bone
砿尖宀のみ

児云セキュリティのおさらい
? WordPress��啜弔�HTMLコ�`ドを伏撹し燕幣�
? システム�ログイン、砿尖デ�`タ�
? プラグイン
? テ�`マ
? デ�`タ�デ�`タベ�`ス�
? サ�`バ�`
? OS
? ウェブシステム�+PHP�
? デ�`タベ�`システム�MySQL�
? リモ�`トアクセス
? クライアント�ウェブ�鹿宀?砿尖宀�

�リスク嚠契
1. システムアップデ�`ト
2. ログイン崙�
3. 翌何�J�^システムの試喘
4. サイト砿尖鮫中の圧催晒
1. ア�`カイブサイトの床議HTML晒
1. その麿プラグインの試喘

1. システムアップデ�`ト
? システム
? 徭�咼▲奪廛禰`ト
? プラグイン
? 巷塀プラグイン
? テ�`マ
? 巷塀テ�`マ
? 巷塀テ�`マをベ�`スに徨テ�`マ��撹
サイトへのアクセ
スで�k��
�k�咾靴覆�
ことがある
ロ�`カルペ�`ジ
バックアップ´

�兜豚ユ�`ザ�`の�筝�
? 仝admin々を聞っていたら�筝釮垢襪��靴泙靴腓�
? 仝root々などいかにも砿尖宀ユ�`ザ�`っぽいのは閲けましょう
3.0參週は兜豚セットアップ�rに兜
豚砿尖宀ユ�`ザ�`兆を�筝鋻�

�IP / ホスト崙�
? wp-config.php�システム�h廠ファイル�
? wp-login.php�ログイン�
? /wp-admin/�砿尖鮫中�
? xmlrc.php�XML-RPCを旋喘した誘後�
Apacheのケ�`スで�B初
ウェブサ�`バ�`が、.htaccessの�O協を�S辛している��呂墨泙�

<Files ｀wp-config.php¨>
deny from all
</Files>
wp-config.phpへの崙� �.htaccess�
このファイルにはDBアクセス秤��
が秘っている

<Files ｀wp-login.php¨>
Order Deny, Allow
Deny from all
Allow from 127.0.0.0/8
Allow from uqwimax.jp
</Files>
wp-login.phpへの崙� �.htaccess�
仝IPアドレスチェック々で俊�A極挑のインタ�`ネットから�え
るグロ�`バルIPアドレスとクライアントホスト兆をチェック
プロバイダ畠悶
でも�森獷△�

ログイン崙�による嚠契
<Limit GET POST>
Order Deny, Allow
Deny from all
Allow from 127.0.0.0/8
Allow from uqwimax.jp
</Limit>
<Files 'admin-ajax.php'>
Order Allow,Deny
Allow from all
Satisfy any
</Files>
/wp-admin/への崙� �wp-admin/.htaccess�
テ�`マ/プラグインによって、崙�
で�嘛�靴覆�覆訖苗榻圓療迭�
WordPress Codex 晩云�Z井
http://wpdocs.osdn.jp/ブル�`ト
フォ�`ス好��

<Files ｀xmlrpc.php¨>
Order Deny, Allow
deny from all
allow from jetpack.wordpress.com
allow from 192.0.0.0/255.255.0.0
</Files>
xmlrpc.phpへの崙� �wp-admin/.htaccess�
JetPack��貨
wp-config.php
add_filter('xmlrpc_enabled','__return_false'); Pinbackは契げない
SiteGuard WP Pluginや WP Total Hacksプラグイン吉のプラグインに
よるピンバックブロック�C嬬も聞えるかも

xmlrpc.phpへの崙� �wp-admin/.htaccess�
WordPress貧でサイトの
リンクを�Nる
リンク圷に宥岑�pingback� リンク圷に宥岑�pingback�
サイトのリンクを�並に�Nりまくれ��
��_隠した寄楚のWordPressサイト�
コメント�擇砲睛��
コメント�擇睦�並リンクが��
�d�覚�J�
好�蔦�
コメント�擇睦�並リンクが��
�d�覚�J�
�^�塞でア
クセスでき
ない
Pingbackチェック�http://labs.sucuri.net/?is-my-wordpress-ddosing

? GoogleからAPI Keyを秘返
? https://console.developers.google.com
? Client ID, Secretキ�`を函誼
? Google Apps Loginプラグインを��
? Client ID, Secretキ�`を秘薦
3. 翌何�J�^システムの試喘
�Googleアカウント��
http://kitaney-google.blogspot.jp/ で仝WordPress々�碧�
ユ�`ザ�`兆もパスワ�`ドも縮えない
よりセキュアな翌何�J�^を聞える

4. サイト砿尖鮫中の圧催晒
? サイトまるごと圧催晒�http:// ? https://�
? �O協�WordPressアドレス、サイトアドレスを https://�
? リダイレクト�O協
? 蒙協ペ�`ジのみ圧催晒�お��い栽わせフォ�`ムのみとか�
? サイト砿尖鮫中のみ圧催晒
�http://??/wp-admin/ ? https://??/wp-admin/ �
? wp-config.phpに、define(｀FORCE_SSL_ADMIN¨, true); を弖紗
サ�`バ�`が��鬉靴討い董�
https://??/wp-admin/ でもアクセスできるように
なっていることが念戻
オレオレ�^苧��SSL徭失�^苧��
jetpack�B亊できないよ?

? もう�lもログインしないけれど、ア�`カイブはしておきたい
? �K阻したプロジェクトのウェブサイト吉
いつまでもやっていられない
WordsPerss の
アップデ�`ト
デ�`タベ�`スの
巌樋來

StaticPressプラグイン�
? 並念テストができる
? パ�`マネント�O協なら、フォルダ��夛も哈き�@がれる
? http://localhost:8888/wordpress/wordpress/static/

6. プラグインによる嚠契
? 徭�咼丱奪�▲奪�
? BackWPUP�デ�`タベ�`ス?ファイルすべて�
? WP-DBManager�デ�`タベ�`スのみ、痌�眇苗棕�
? �\僅
? AntiVirus��叟テ�`マ/テンプレ�`トチェック�
? Theme Check�テ�`マチェック�
? Exploit Scanner�WordPressシステム個ざんチェック�
�https://github.com/philipjohn/exploit-scanner-hashes�
? Broken Link Checker�コンテンツ坪のリンク俳れチェック�
? 徭�啗﨩�
? WP-CLI�コマンドラインからWordPressを砿尖�
? 堕�s砿尖
? Crazy Bone�ログイン、ログアウト堕�s砿尖�
? 圧催晒
? WordPress HTTPS�掲容�X�

6. プラグインによる嚠契
? 契�l
? SiteGuard WP Plugin
? /wp-admin/へのアクセス崙�、ログイン��貨、スパム��貨、WAF、ピンバック�o�慎�
? Login Security Solution
? �t輝たり好�跳石l、パスワ�`ド�業�O協
? Acunetix WP Security
? 音駅勣な秤�皷_幣を指閲
? User Role Editor
? ユ�`ザ�`ごとの�かいアクセス�慙湟O協
? Google Apps Login
? Googleアカウント�J�^を喘いたログイン�晒
? Gianism
? Facebook, Twitter吉SNSを喘いたログイン�晒
? Force Email login
? メ�`ルアドレスをユ�`ザ�`兆の旗わりに�崙することでログイン�晒
? All In One WP Security & Firewall
? 謹�C嬬セキュリティ��貨
? WP Total Hacks
? ピンバックをブロック�セルフピンバック根む�

原�h �C プラグイン旋喘圭隈
? AntiVirus
? �叟テ�`マ/テンプレ�`トチェック
? Exploit Scanner
? WordPressシステム個ざんチェック
? Acunetix WP Security
? 音駅勣な秤�皷_幣を指閲と��}泣

AntiVirus
? デ�`タベ�`ステ�`ブルのチェック
? テンプレ�`トファイルのチェック
? Iframeまわりを�奮�垢�
? Google Safe Browsingでのチェック

Exploit Scanner
https://github.com/philipjohn/exploit-scanner-hashes
旋喘しているWordPressバ�`ジョン喘の
MD5 checksum�hashes-バ�`ジョン.php�が駅勣
1.4.4 = WordPess 3.1.7 - 4.2.1�哂�Z井�
恷仟�4.2.2
歌孚�[�]] WordPress 晩云�Z井喘 Exploit Scanner ハッシュファイル
https://ja.forums.wordpress.org/topic/2743?replies=20
1. 4.2.2 哂�Z井の旋喘
2. 徭蛍で恬る

Exploit Scanner
https://github.com/philipjohn/exploit-scanner-hashes
hashes-generator.php
$latest = 'https://ja.wordpress.org/wordpress-4.2.2-ja.zip';
$file = 'wordpress-4.2.2-ja.zip';
晩云�Z井ダウンロ�`ド�https://ja.wordpress.org/releases/#latest
�ハッシュジェネレ�`タのダウンロ�`ド
�ハッシュジェネレ�`タの��Qえ
�ハッシュジェネレ�`タの軟�咤ψ�疋侫．ぅ襪�MD5�､鬟瓮�
php hashes-generator.php > hashes-4.2.2.php
�ハッシュをExploit Scannerプラグインフォルダへ卞��
hashes-4.2.2.php を卞��
∠Exploit Scannerの�J�Rを�_�J
MD5 of hashes-4.2.2.phpの�､函�md5 hashes-4.2.2.php の�､厘志卒_�J
md5 hashes-4.2.2.php

Exploit Scanner
1. タ�`ミナルアプリ軟��
2. cd ~/Desktop && mkdir exploit-scanner-dev
3. cd ~/Desktop/exploit-scanner-dev
4. curl �CO https://raw.githubusercontent.com/philipjohn/exploit-
scanner-hashes/master/hashes-generator.php
5. open �Ca textedit hashes-generator.php
6. php hashes-generator.php > hashes-4.2.2.php
7. md5 hashes-4.2.2.php
8. hashes-4.2.2.phpを、wp-content/plugins/exploit-scanner/ へ
9. �_�J
$latest = 'https://ja.wordpress.org/wordpress-4.2.2-ja.zip';
$file = 'wordpress-4.2.2-ja.zip';
晩云�Z井ダウンロ�`ド�https://ja.wordpress.org/releases/#latest
MD5 (hashes-4.2.2.php) = 6214151dc39b725871bb7e76355afb40

Acunetix WP Security
? �^肇の��}
? Secure WordPress からの兆各�筝釮靴遂Hに、アップデ�`ト�rに
仝プラグインが唯峭したとエラ�`々
? 壅業嗤�浸�垢譴�OK
? Secure WordPress 2.0.2旋喘�rに、WordPress 3.2.1へアップグ
レ�`ドすると、サイトが峭まる
? exist signal Segmentation faultが´
? PHPのJSON��碧��筝釮砲茲辰董△い�弔�離薀ぅ屮薀�
ファイルが�茅され、それを駅�としたプラグイン�箸��
ングした。

Acunetix WP Security
- Settings-
? Hide WordPress version for all users but administrators
? Remove various meta tags generators from the blog's head tag for
non-administrators
? Try to create the index.php file in the wp-content, wp-
content/plugins, wp-content/themes and wp-content/uploads
directories to prevent directory listing
? Remove the version parameter from urls
? Empty the content of the readme.html file from the root directory

WordCamp Kansai 2015
coming soon..
? 晩�r�2015定7埖25晩�輿�- 26晩�晩�
? ��鍈佐點羇麪жN嶄キャンパス寄昜寄僥氏�^
? 歌紗�M��o創
Get Involved
�M晒を�Aける隆栖に竃氏おう

際際滷

WordPressとリスク砿尖 at 及42指 WordBench寄昜

Recommended

More Related Content

What's hot (20)

Similar to WordPressとリスク砿尖 at 及42指 WordBench寄昜 (20)

More from Kitani Kimiya (9)

Recently uploaded (13)

WordPressとリスク砿尖 at 及42指 WordBench寄昜

Editor's Notes