WordPressで自動作成される「ユーザーの投稿一覧」からユーザー名が丸裸に！？　～不正ログイン試行の実態と対策プラグイン紹介～

サイトは一人で管理してるのでユーザー名は１つだし、ログインの履歴を記録する

 Knowledge Base  1 user

Wordpressでログインやログイン失敗の履歴を一覧で確認できるプラグイン「Crazy Bo...

https://www.momosiri.info/wppi/crazy-bone/

Wordpressはポピュラーで無料のブログCMSツールなので、ログインURLのアドレスが簡単に推察されるため、無作為にユーザー名やパスワードを入力してサイトにログインできる状況を探るブルートフォースアタックの対象となる場合が多いですね。かくいう私のサイトもこの...

を使って時折確認しているけど不正ログインしようとした形跡もないのでもうそろそろ必要ないかなぁなんて思った矢先に結構な数の不正ログイン（試行）の跡が・・・ちょっとびっくりしました。

このサイトは以前無料のサーバーを使って作っていたものを独自ドメイン化し、有料サーバーへ移行したもの。以前のサーバーでは結構いろいろなログイン試行の形跡がありました。

 Knowledge Base

不正アクセスは絶対許さない！！情報を開示します。

https://www.momosiri.info/post-15908/

Wordpressに限らず、不正なログインをしようとする人はいるんですね。当サイトでもちらほらではありますが不正なログイン失敗の形跡があります。ログインやログインエラーの履歴はで調べています。無頓着な方はぜひ導入して不正ログインされていないか、不正ログイン...

サーバー移転後はなかったのですが、１１月１日～２日の間に結構な数のログイン失敗の履歴がありました。これらは当然IPアドレスを調べてアクセス拒否していくとして、問題なのは不正ログインしようとしたときに入力されたユーザー名。

これをどこから類推するかというと・・・Wordpressが自動で作る「ユーザーが作った記事の一覧（アーカイブ）」なんです。ちなみにこの記事はWordpressを使っている方しかほぼ見ないと思いますが、自身のサイトの「ユーザーが作った記事の一覧（アーカイブ）」を見たことありますか？そのときのURLはどうなっていますか？？

テーマにもよりますけど確認方法は記事の末尾にある「ユーザーのニックネーム」のリンクをクリックするだけ。そこに表示されるURLは・・・なんとユーザー名そのものなんですね！！

私の場合は以前の教訓からこの問題への対策のため

 Knowledge Base

Wordpressでアーカイブのスラグをユーザー名と異なるものにしてセキュリティーをア...

https://www.momosiri.info/wppi/edit-author-slug/

Wordpressには投稿などのコンテンツを作成すると、作成したユーザーが記録されるようになっています。そしてテーマを通じてユーザーごとのコンテンツ一覧が表示できるようになっています。この作者アーカイブを実際にご覧になったことはありますか？コンテンツの作成...

というプラグインを使って別名のスラグにしています。そしてまんまと？その別名をユーザー名と思い込んで不正アクセスを試みていたのです。２日間で何と５４回もこの別名でアクセスに失敗しています。

WordPressをそのまま使っている方、ログインの履歴なんか知らないという方、表示画面から簡単にユーザーの記事アーカイブページへ移動できてしまう方、知らない間にサイトを乗っ取られて・・・なんてことのないように気を付けましょうね。

不正アクセスしてきたIPアドレスと所在地一覧

前述したように、Wordpressのサイト構造を知っていないと今回のような形での不正アクセスはできないわけですから、こういうことをする輩のことを保護する理由は全くありませんので、アクセス拒否した上で情報を公開します。気になる方は私と同様に

 Knowledge Base  1 tweet 3 users

Wordpressでアクセス制限や拒否を設定できるセキュリティプラグイン「Wp-Ban」

https://www.momosiri.info/wppi/wordpress-plugin-wpban/

いつもの通り、サイトのメンテナンス＆投稿の追加などなどしようと思ったら・・・アクセスできない！！使っているレンタルサーバーからのメールによると、過剰なアクセスによる高負荷がかかったためアクセス禁止にしている・・・というような文面が・・・。※※※これが...

を使って簡単にアクセス拒否してしまいましょう！！

不正アクセスにコンテンツ泥棒・・・そういうことを考えられる頭をもっといいことに使えばいいのに・・・。

表の中で種別が４となっているのが、今回問題となったユーザーアーカイブからユーザー名が類推されたものです。

いつでもご相談・サイトカスタマイズの依頼を受け付けています

Wordpressのカスタマイズ、不具合解消のご相談はすべてココナラのダイレクトメッセージからお受けしております。まずはこちらのバナーからお気軽にお問い合わせください。

※一度もココナラを使ったことがない方はココナラへの無料登録が必要です。こちらから登録後、上のリンクをクリックする、またはココナラトップページから「ひまあーと」を検索してお問い合わせください。

関連記事

【WordPress】投稿一覧画面の「編集」ボタンを押した時に編集画面を別タブで開く方法

たくさんの記事の中から、「この記事を編集しよう」と思った時、編集ボタンをクリックすると同じ窓（タブ）で編集画面が開きますよね。記事数が多かったり、何ページめかの記事だったりするととても面倒・・・。投稿一覧の編集ボタンをクリックすると別ウインドウ（タブ）で編集画面を開くようにするためのコードを紹介します

【Shortcode Ultimate】プラグインで未ログインユーザーに表示されるログインフォームを非表示にする方法

【Shortcode Ultimate】の便利な機能の１つ、ログインユーザーだけが見えるコンテンツのショートコードをちょっと工夫して、ログインしていない人にはメッセージとログインフォームを表示しない方法を紹介します。

【備忘録】WordPressの管理画面にある投稿一覧で項目の幅を調整する方法

Wordpressの管理画面にある投稿一覧などで余白がいっぱいあるのにタイトルが何行にもなる・・なんてことありませんか？簡単にできる調整方法を詳しく紹介します。

プラグインやテーマ編集で「何かうまくいかなかったようです。変更が保存されていないかもしれません。手動で修正し、FTP 経由でファイルをアップロードすることもできます。」と表示されて更新できないときの原因と対処

Wordpressのバージョンを4.9にしてからテーマなどのカスタマイズをして更新したら「何かうまくいかなかったようです。変更が保存されていないかもしれません。手動で修正し、FTP 経由でファイルをアップロードすることもできます。」というメッセージが表示されて更新できないときの原因と対処方法を紹介します

【WordPress】２つのプラグインを使ってウィジェットの表示・非表示を完璧にコントロールする方法

２つのプラグインを使って「ウィジェットのタイトルを管理画面側だけ表示する方法」と「ウィジェットをケースによって表示／非表示にする」の２つの機能を実現する方法を紹介します