【要注意！】WordPressを使ったブログのサイドバーに「サイト管理」を残している人は即、外した方が良いぞ…！

2014/03/06 2014/03/07

html、CSSって何ですか？って位WEBの知識の無い、むねさだ(@mu_ne3)です。
スクリーンショット_2014_03_06_5_33-2

ブログを始めたきっかけが「情報を発信する」という事がしたかっただけなので、htmlとかCSSとかその辺りの事は勉強しようとするモチベーションがあまり無く、必要最低限の2歩くらい手前で止まっている状態です。

コレでも2年間以上ブログを書き続けられているのだから大丈夫だろうと思っていた所…。

何やらヤバそうなことが起こってしまいました。

これ「私もよく分かってないけどWordpress使ってるんですよ」って人は要注意ですよ!!（涙目）

サーバー会社から届いた「不正なアクセスを検知いたしました」メール

気がついたのは、1通のメールがGmail宛に届いたからでした。

タイトル：【ロリポップ！】不正なアクセスを検知いたしました

メールのタイトルが、【ロリポップ！】不正なアクセスを検知いたしましただったので、ビックリした訳ですよ…。

何が起こったんだ？と思って内容を見てみた所、

WordPress の wp-login.php に対し、複数回のログイン試行が確認されました。

アクセスの内容より、総当たり攻撃や辞書攻撃など、WordPress への
不正なログインを試みるアクセスの可能性が高いと判断されたため、

という内容が…。

どうやら、私のブログの管理画面にアクセスして、何度もログインしようとした人がいたようです…。

これは危ない！！！

幸いIDも「admin」から変更してあるし、パスワードは複雑な組み合わせにしてあるので大丈夫だとは思いますが、これは不安…。
っと、さらにメールの続きを読んでみるとレンタルサーバー会社の方で対策をしてくれていて、ログイン画面自体にアクセスできなくしてくれていました。

弊社側で .htaccess による wp-login.php へのアクセス制限を実施し、
WordPress ダッシュボードへのログインができないよう対応を行っております。

お客様ご自身が WordPress にログインするため、
.htaccess を編集しアクセス制限を解除する必要がございます。

ん？
ログイン画面自体にアクセスできなくしたってことは、これじゃ私も入れないのか…！？
と思って実際にアクセスしてみるとこんな感じになっていました。
スクリーンショット_2014_03_06_5_38-2

とりあえずは上記対応をしてもらっているので、最悪の事態は回避されたはず。

が、何も対処しないまま元に戻してしまうとまた同じ事が起こる可能性は十分にある。

ってことで何かしら対策をしなければ…。

幸い、家のデスクトップパソコンは常に電源を入れっぱなしにしていてWordpressのダッシュボード画面を開いたままの状態だったため、こうやって対策をしたりブログを書けている訳です（助かった！）。

原因はサイドバーの「サイト管理」の可能性が大!?（では無さそうです）

しかし、なんで管理画面なんかに不正アクセスがあったんだろう？と考えているとそう言えば…。

私、サイドバーに初期配置のまま「メタ情報　サイト管理」って部分残したままだったんです。
スクリーンショット_2014_03_06_5_33

これでは私のブログを見に来た全ての人に、ワンクリックでログイン画面に行けちゃう入り口を設置しているわけですから、危ないですよね…。

いや、もちろんWordpressに詳しい人とかだと、ログイン画面とかこのリンクが無くても行けちゃうんでしょうけれど、少なくてもそこへ誘導するようなリンクがあるのはやっぱりよろしくない。
ということで速攻外しました。

【追記】原因は総当たり攻撃らしいです

【2014.03.07追記】
詳しい人達から、いくつかのご意見を頂きました。

基本的に今回の不正アクセスは、wp-login.phpをURLにつけて直接アクセスして来ているので、サイドバーのサイト管理は関係ないとの事です。
[箱] Crazy Bone ブルートフォースアタック（総当たり攻撃）が見えた！Sixcore でも油断するとやられます。 | [箱]ものくろぼっくす

wp-login.phpのセキュリティを高める事が重要だそうですが、とりあえずは以下の2つを行うことである程度自衛できそうです。