質問: 関わっているWordpressサイトが改ざんされました。 [https://www.orange-ss.com/column/0102.html](https://www.orange-ss.com/column/0102.html ) こちらのサイトを参考にしながら対応し、 一旦、サーバ上のファイルは全て削除しました。 その際に参考ページに従ってWordpressファイル一式を バックアップしました。 バックアップファイルはサイトの設定確認や改ざんファイルの 検証などに活用できますが、この中のどこかにサイトを改ざんさせる 震源となるプログラムが含まれているかと思います。 こうしたプログラムが活動をするのはサーバ上のみでしょうか。 ローカル環境でも何か怪しい動きを行い得るのでしょうか。 (その場合はPCへの影響が気になっています) <症状> ・サイトの全ページが404エラーで表示されなくなる。 (Wordpressのダッシュボードは表示され、ログイン可能、 サーバー上にもWordpressのファイル一式は存在する) ・Wordpress直下のindex.phpが改ざんされている。 その他にも改ざんされたphpファイルや見知らぬphpファイルあり →別ページにリダイレクトさせようとする記述 →正規表現でパスを抜こうとしているような記述 →大量の文字列 など ・見知らぬフォルダが作られており、中に大量のHTMLファイルが。 中身は怪しい通販ページで、さらにJSで別ドメインへ リダイレクトさせる記述あり。 <対処> ・WordpressダッシュボードのPWを変更 ・Wordpressとプラグインを全て最新バージョンに ・index.phpを元に戻す→サイト表示復活(その後は再発なし) ・怪しいファイルとフォルダを削除 ・翌日、削除したphpファイルの一部が復活(再発)、 別の場所にも新たなPHPファイルを発見 ・FTPサーバのパスワードを変更 ・データベースのパスワードを変更 ・サーバ上のワードプレスファイルをバックアップ (投稿のxmlファイル、データベースのsqlファイルも) ・サーバ上のワードプレスファイルを全て削除 <今後> 経過を見守っていますが、その後サーバ上には再発がないようです。 バックアップしたWordpressファイルは基本使わずに、 新たにインストールしたWordpressに以前のテーマやエントリーを 加えていこうかと思います。
回答: 以下、参考程度ですが。 WordPressの脆弱性対応は「最新版に更新しろ」というものが多いですが。 プラグインなどには最新版であっても脆弱性への対処が出来てない物があるかも知れません。 また、WordPressやプラグインのバージョンに依存した脆弱性以前に、設定自体が原因というケースも懸念されます。 設定が問題であれば、いくらソフトを最新版にしても「穴」は残ってしまいます。 サイト復旧後、脆弱性スキャナとかでなにか脆弱性が残っていないか確認しましたか? もし実施可能であれば、脆弱性スキャナで診断をかけておいた方が良いと思います。 WordPress向けのセキュリティスキャナだと、例えばWPScanあたりとか。 自分で実行環境を用意するのが困難な場合は、企業で提供している脆弱性診断サービスを利用する手もあるかと。 ただ、そのサービスを提供しているところが怪しいところでないか十分に注意する必要はありますが。 ※参考:ウォルティ、WordPress脆弱性スキャン機能を提供開始 > > こうしたプログラムが活動をするのはサーバ上のみでしょうか。 > > ローカル環境でも何か怪しい動きを行い得るのでしょうか。 > > (その場合はPCへの影響が気になっています) > > > まず、ローカル環境はOSパッチなど常に最新にして、セキュリティ対策ソフトを導入して、パターンファイルも最新になっているでしょうか。 もしローカルで動いてしまうようなものなら、それである程度ブロックされる場合もあるかと。 クライアントサイドで実行されるスクリプトがある場合、うっかりブラウザなどで開くと活動する恐れがありますよね。 また、PHPなどローカルで実行出来るように関連付けていたりすると、うっかり実行してしまう可能性もありますし。 そのようなうっかりが懸念される場合は、圧縮するなりしてすぐ実行出来ないようにして置いた方が良いかと。 もし改ざんが疑われるファイルを検証をするのであれば。 なるべく外部に接続されていない隔離された検証用の環境を用意し、そちらで確認した方が良いかと思います。 VMwareやVirtualBox上の仮想マシンで検証用サーバを構築して、ホスト側からネットワーク接続を切った状態にしてから、仮想コンソールでいろいろ開いてみるとか。