こんにちは！
本日、表題の内容のメールが「ロリポップ」より届きました。
2013年に「ロリポップ」にインストールしているWordPressが、不正アクセスされる騒ぎがありましたよね。同じような状況だと思うのですが、私が契約しているサーバーに不正アクセスがあったようです。
幸い、テスト用に使用していただけのサーバーだったので、全く問題はありませんでしたが、実際に稼働しているサーバーに不正アクセスがあったかもしれないと思うとシャレになりません。
この機会に対処法を備忘録として記事にしておきたいと思います。
実際に届いたメールの内容！
↓実際に届いたメールの内容が以下になります。
『ロリポップ！レンタルサーバー』をご利用の方にお送りしています
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○○○ 様
平素よりロリポップ！をご利用いただき、誠にありがとうございます。
この度、「△△△△△△△△△△」のご契約で利用されているWordPress の wp-login.php に対し、複数回のログイン試行が確認されました。
アクセスの内容より、総当たり攻撃や辞書攻撃など、WordPress への不正なログインを試みるアクセスの可能性が高いと判断されたため、
弊社側で .htaccess による wp-login.php へのアクセス制限を実施し、WordPress ダッシュボードへのログインができないよう対応を行っております。
お客様ご自身が WordPress にログインするため、.htaccess を編集しアクセス制限を解除する必要がございます。
■ ロリポップ！のアカウント
□□□□.lolipop.jp
■ .htaccess の設置場所
/□□□□.com/.htaccess
お手数ですが、下記対策マニュアルをご確認いただき対策を行っていただきますようお願いいたします。
▽ WordPressの.htaccess編集方法
http://lolipop.jp/manual/blog/wp-htaccess/
また、サーバーやホームページのセキュリティ向上のためには、ロリポップ！で行っておりますサーバー側の対策に加えて、ユーザーの皆様にも対策を行っていただくことが重要です。下記のページをぜひご確認ください。
▽ サイト改ざんへの対策をお願いいたします ? ロリポップ！
http://lolipop.jp/security/
これからもより快適に、楽しくご利用いただけますよう機能追加やサービス向上に努めてまいります。今後とも、ロリポップ！をどうぞよろしくお願いいたします。
どうやら今はログインが出来ない状態になっているようです。WordPressに不正アクセスがあれば、サーバー側でアクセス制限を行うようですね。
↓実際にログインしてみると、こんな画面が表示されました。確かにログインできません。ただサイトは問題なく見れてます。
何をどうやってもログインはできないので、アクセス制限の解除をするために「ロリポップ」からのメールの指示に従い、「.htaccess」を編集したいと思います。
管理画面のアクセス制限の解除！
「WordPressの.htaccess編集ページ」を開く！
↓以下のページよりWordPressの「.htaccess」編集方法が確認できます。
WordPressの.htaccess編集
↓こんなページです。
「ユーザー専用ページ」へログイン！
↓「.htaccess」を編集するために、以下のURLから「ユーザー専用ページ」へログインしてください。
ユーザー専用ページ
↓「ログインフォーム」画面が開きますので「ドメイン」の選択と「アカウント/ドメイン」「パスワード」を入力し「ログイン」をクリックして下さい。
これで管理画面へログインできました。
FTPから「.htaccess」を編集！
↓管理画面の「WEBツール」⇒「ロリポップ！FTP」をクリックしてください。
↓サーバーとつながり、ファイルが表示されます。以下のような画面です。
↓対象のWordPressのフォルダをクリックし「.htaccess」をクリックしてください。
↓以下のような「.htaccess」を編集できる画面がありますので、「IPADDRESS」の部分をご自身の「接続元IPアドレス」に変更してください。最後に「保存する」をクリックしてください。
↓「接続元IPアドレス」は「WordPressの.htaccess編集ページ」から確認できます。
以上で「.htaccess」の編集が完了しました。
もう一度、管理画面へアクセス！
↓もう一度、WordPressの管理画面のURLへアクセスしてみます。今回は問題なく「ログイン」画面が表示されました。アクセス制限が解除されたようです。
サイト改ざんの予防！
↓以下は「ロリポップ」が推奨しているサイト改ざんの予防策になります。
- WAFを有効にする
- CMS ツールは最新のバージョンをご利用ください
- パーミッションの設定を正しく行なってください
- WordPressのテーマ・プラグインを利用する際に注意ください
- 最新のウイルス対策ソフトを利用する
- FTPやCMS管理画面のパスワードを推測されにくいものにする
- バックアップツールを使って定期的にバックアップを取る
上記、対応できるものは、すぐに対処しましょう。
最後に！
今回のことで、不正アクセスとサイトの改ざんを身近に感じました。実際に稼働しているサイトにアクセスされ、改ざんされようものなら、備忘録を残している余裕すらなかったでしょう。常にサイト改ざんの予防を行なうことが大切です。
以上「使用してるロリポップで不正アクセスが検知された！」でした！
それではまた。
コメント