質問: 本日、WordPressサイトが改ざんされました。 別のURLにリダイレクトされます。 サーバはVPSのapacheで1ヵ月前の保存イメージがあったため、即時切替えて対処しました。 改ざん時のデータベースを後で確認するつもりでphpMyAdminにアクセスしましたが、アクセスできませんでした。 が、これは後から確認してみるとパスを間違っていました。 その後。ログを見ていると、404に対して海外からの不審なアクセスが多々ありました。 そして、3時間ほどして再発しました。 不思議なのは間違ってアクセスした上記のphpMyAdminのパスに対してもアクセスがあります。 WordPressは4.9.10で一応メジャー前の最新です。 プラグインについてはあまり数が多くありませんが、Easy WP SMTPに本日脆弱性が見つかったとの情報がありました。 管理画面のURLは変更、phpMyAdminはパスの変更、IP縛りしています。 また、サブディレクトリにもWordPressサイトがありますが、こちらは問題ありません。 おそらく、また再発すると思われます。 自身の見解ではサーバそのもの、ブルートフォースではないように感じていますが、この情報で考えられる要因はあるでしょうか?
回答: 海外IPからのwp-adminのアクセス禁止など、いろんな対策を行いました。 その後、脆弱性のありそうなプラグインのファイルへのアクセス、SQLインジェクション、XSSなどさまざまなアタック痕跡が続きましたが、ブロックすることができたようです。 結局、ブルートフォース系ではないこと以外は原因ははっきりせず、初動段階で復旧を優先させてしまったことを反省しました。 その時点でのバックアップを取って後で検証すべきでした。