WordPressへの不正ログイン攻撃対策(2)

以前に頻発していたWordPressのXMLRPC不正ログイン攻撃がまた始ってしまった。なぜかユーザー名がわかってて攻撃しているようだ。前回もなんでユーザー名がわかるんだろうと不思議に思っていたが調べてみると投稿者のリンク先にユーザー名が含まれていることを発見する。しかも、リンク先なので普通にカーソルを当てるだけでブラウザに表示されてしまう...orz

こんな単純な方法でユーザー名がわかってしまうWordPressってどうなの?とも一瞬思ったが今更変更するのも大変だし、そもそもテーマに依存する問題であるようなので共通対策というのもないようである。さらに...たまたま使ってしまったtwentyseventeenテーマの場合、設定では対策不可能なので直接PHPを修正して対処するしかないようだ。

ブラウザで投稿ページのソースを表示しユーザー名を検索すると2か所あった。そのうちのひとつはログイン名なので問題なさそう。もうひとつが問題の投稿者のリンク先らしい。どこのPHPでリンク先を生成しているのか調べるために次のコマンドにより投稿者のリンク先付近のhtmlタグ情報から関連しそうな部分を探してみた。

$ find . -type f -name “*.php” | xargs grep ‘author vcard’ -n

で、特定したPHPの問題であるhref部分を削除してみたところ表示はされなくなったが、これで本当に攻撃が回避できるかどうかもわからないしテーマを更新した場合は再度修正する必要もあるが対策の一つとして有効であることは間違いないだろう。

[インストール先]/wordpress/wp-content/themes/[テーマ]/inc/template-tags.php