WordPressで自動作成される「ユーザーの投稿一覧」からユーザー名が丸裸に！？　～不正ログイン試行の実態と対策プラグイン紹介～

サイトは一人で管理してるのでユーザー名は１つだし、ログインの履歴を記録する

Knowledge Base

 

1 user

Wordpressでログインやログイン失敗の履歴を一覧で確認できるプラグイン「Crazy Bo...

https://www.momosiri.info/wppi/crazy-bone/

Wordpressはポピュラーで無料のブログCMSツールなので、ログインURLのアドレスが簡単に推察されるため、無作為にユーザー名やパスワードを入力してサイトにログインできる状況を探るブルートフォースアタックの対象となる場合が多いですね。かくいう私のサイトもこの...

を使って時折確認しているけど不正ログインしようとした形跡もないのでもうそろそろ必要ないかなぁなんて思った矢先に結構な数の不正ログイン（試行）の跡が・・・ちょっとびっくりしました。

このサイトは以前無料のサーバーを使って作っていたものを独自ドメイン化し、有料サーバーへ移行したもの。以前のサーバーでは結構いろいろなログイン試行の形跡がありました。

Knowledge Base

不正アクセスは絶対許さない！！情報を開示します。

https://www.momosiri.info/post-15908/

Wordpressに限らず、不正なログインをしようとする人はいるんですね。当サイトでもちらほらではありますが不正なログイン失敗の形跡があります。ログインやログインエラーの履歴はで調べています。無頓着な方はぜひ導入して不正ログインされていないか、不正ログイン...

サーバー移転後はなかったのですが、１１月１日～２日の間に結構な数のログイン失敗の履歴がありました。これらは当然IPアドレスを調べてアクセス拒否していくとして、問題なのは不正ログインしようとしたときに入力されたユーザー名。

これをどこから類推するかというと・・・Wordpressが自動で作る「ユーザーが作った記事の一覧（アーカイブ）」なんです。ちなみにこの記事はWordpressを使っている方しかほぼ見ないと思いますが、自身のサイトの「ユーザーが作った記事の一覧（アーカイブ）」を見たことありますか？そのときのURLはどうなっていますか？？

テーマにもよりますけど確認方法は記事の末尾にある「ユーザーのニックネーム」のリンクをクリックするだけ。そこに表示されるURLは・・・なんとユーザー名そのものなんですね！！

私の場合は以前の教訓からこの問題への対策のため

Knowledge Base

Wordpressでアーカイブのスラグをユーザー名と異なるものにしてセキュリティーをア...

https://www.momosiri.info/wppi/edit-author-slug/

Wordpressには投稿などのコンテンツを作成すると、作成したユーザーが記録されるようになっています。そしてテーマを通じてユーザーごとのコンテンツ一覧が表示できるようになっています。この作者アーカイブを実際にご覧になったことはありますか？コンテンツの作成...

というプラグインを使って別名のスラグにしています。そしてまんまと？その別名をユーザー名と思い込んで不正アクセスを試みていたのです。２日間で何と５４回もこの別名でアクセスに失敗しています。

WordPressをそのまま使っている方、ログインの履歴なんか知らないという方、表示画面から簡単にユーザーの記事アーカイブページへ移動できてしまう方、知らない間にサイトを乗っ取られて・・・なんてことのないように気を付けましょうね。

不正アクセスしてきたIPアドレスと所在地一覧

前述したように、Wordpressのサイト構造を知っていないと今回のような形での不正アクセスはできないわけですから、こういうことをする輩のことを保護する理由は全くありませんので、アクセス拒否した上で情報を公開します。気になる方は私と同様に

Knowledge Base

 

1 tweet

3 users

Wordpressでアクセス制限や拒否を設定できるセキュリティプラグイン「Wp-Ban」

https://www.momosiri.info/wppi/wordpress-plugin-wpban/

いつもの通り、サイトのメンテナンス＆投稿の追加などなどしようと思ったら・・・アクセスできない！！使っているレンタルサーバーからのメールによると、過剰なアクセスによる高負荷がかかったためアクセス禁止にしている・・・というような文面が・・・。※※※これが...

を使って簡単にアクセス拒否してしまいましょう！！

不正アクセスにコンテンツ泥棒・・・そういうことを考えられる頭をもっといいことに使えばいいのに・・・。

表の中で種別が４となっているのが、今回問題となったユーザーアーカイブからユーザー名が類推されたものです。

• 記事の作者: ひまあーと（管理人）

---

• ☆最後までお読みいただきありがとうございました。記事作者のひまあーとです。
  ☆Wordpressでサイトをカスタマイズしていく上で有用な情報を配信しつつ、「ココナラ」でサイトカスタマイズのお手伝い、不具合の修復、サイト引っ越し代行などをさせていただいております。
  ☆Wordpressネタが多いですが、趣味の「園芸」「卓球」などの情報や日々の出来事などもどんどん増やしていきますのでよろしくお願いいたします。

---

• 作者の記事一覧はこちら

いつでもご相談・サイトカスタマイズの依頼を受け付けています

Wordpressのカスタマイズ、不具合解消のご相談はすべてココナラのダイレクトメッセージからお受けしております。まずはこちらのバナーからお気軽にお問い合わせください。

※一度もココナラを使ったことがない方はココナラへの無料登録が必要です。こちらから登録後、上のリンクをクリックする、またはココナラトップページから「ひまあーと」を検索してお問い合わせください。

記事の拡散にご協力をお願いします

閲覧いただきありがとうございました。役に立つ情報でしたら是非SNSでシェアをお願いします

【WordPress】コーディング知識なしで作るフリマ（マッチング）サイト作りをしてみる

CSSの知識もPHPの知識なしで、「ジモティ」のようなフリーマーケットサイト（マッチングサイト）がWordpressで実現できるのか？？複数のプラグインを駆使して作って行こうと思います。あなたのサイト作りの参考になれば幸いです。

WordPressの「Simplicity」テーマでコメント欄へ表示する文字列を変更する方法

無料で高性能なWordpressテーマ「Simplicity」でコメントフォームの文字列を変更したときの備忘録です。もともと「Simplicity」は文字列の変更ができるようになっていますが、それ以外の部分を変える方法です。コメント欄のコントロールをしているテーマなら同じようにカスタマイズできるかもしれません。

【WordPress】悪質なマルウェア「ランサムウェア（Ransomware）」に所有しているサイトが感染しないようにするための対策いろいろ

「ランサムウェア（Ransomware）」はホームページのプログラムに悪質なコードを仕込み、発症するようにもなっているようなので、汎用的なサイト作成ツールであるWordpressが狙われているというわけです。どうやってこのウイルスにかからないようにするか？せっかくサイトを見ようと思って検索結果をクリックした方が、私の（あなたの）作ったサイトによって「ランサムウェア（Ransomware）」に感染しないようにするか？１００％は無理だとしてもできることをしよう！！ということでいくつか対策方法を紹介します。