WordPressで自動作成される「ユーザーの投稿一覧」からユーザー名が丸裸に！？　～不正ログイン試行の実態と対策プラグイン紹介～

サイトは一人で管理してるのでユーザー名は１つだし、ログインの履歴を記録する

Wordpressでログインやログイン失敗の履歴を一覧で確認できるプラグイン「Crazy Bone」

Wordpressでセキュリティ対策をするための第一歩はいつ、どこの国のどこのIPアドレスからログインしようとしたか、ログインしたかを知ることです。「Crazy Bone」は、ログインやログイン失敗の履歴を一覧で見ることができるプラグインです。

www.momosiri.info

サイト内のページへ移動します

2014-07-06 11:31

を使って時折確認しているけど不正ログインしようとした形跡もないのでもうそろそろ必要ないかなぁなんて思った矢先に結構な数の不正ログイン（試行）の跡が・・・ちょっとびっくりしました。

このサイトは以前無料のサーバーを使って作っていたものを独自ドメイン化し、有料サーバーへ移行したもの。以前のサーバーでは結構いろいろなログイン試行の形跡がありました。

不正アクセスは絶対許さない！！情報を開示します。

当サイトに登場する不正ログインしようとした痕跡のあったIPアドレスはアクセスすることすら不可能にしてますから２度と来ることはできないのでそのうち減っていくとは思いますが、やっぱり何か悪さをする人、悪さをしようとする人は許せないので、情報を開示することにしました。

www.momosiri.info

サイト内のページへ移動します

2017-10-29 10:50

サーバー移転後はなかったのですが、１１月１日～２日の間に結構な数のログイン失敗の履歴がありました。これらは当然IPアドレスを調べてアクセス拒否していくとして、問題なのは不正ログインしようとしたときに入力されたユーザー名。

これをどこから類推するかというと・・・Wordpressが自動で作る「ユーザーが作った記事の一覧（アーカイブ）」なんです。ちなみにこの記事はWordpressを使っている方しかほぼ見ないと思いますが、自身のサイトの「ユーザーが作った記事の一覧（アーカイブ）」を見たことありますか？そのときのURLはどうなっていますか？？

テーマにもよりますけど確認方法は記事の末尾にある「ユーザーのニックネーム」のリンクをクリックするだけ。そこに表示されるURLは・・・なんとユーザー名そのものなんですね！！

私の場合は以前の教訓からこの問題への対策のため

Wordpressでアーカイブのスラグをユーザー名と異なるものにしてセキュリティーをアップするプラグイン「Edit Author Slug」

「Edit Author Slug」は単純にフロントエンドでのユーザー投稿一覧で表示されるURLを任意のものに変更し、ユーザー名の類推を防ぐことができるプラグインです。

www.momosiri.info

サイト内のページへ移動します

2017-10-29 11:29

というプラグインを使って別名のスラグにしています。そしてまんまと？その別名をユーザー名と思い込んで不正アクセスを試みていたのです。２日間で何と５４回もこの別名でアクセスに失敗しています。

WordPressをそのまま使っている方、ログインの履歴なんか知らないという方、表示画面から簡単にユーザーの記事アーカイブページへ移動できてしまう方、知らない間にサイトを乗っ取られて・・・なんてことのないように気を付けましょうね。

不正アクセスしてきたIPアドレスと所在地一覧

前述したように、Wordpressのサイト構造を知っていないと今回のような形での不正アクセスはできないわけですから、こういうことをする輩のことを保護する理由は全くありませんので、アクセス拒否した上で情報を公開します。気になる方は私と同様に

Wordpressでアクセス制限や拒否を設定できるセキュリティプラグイン「Wp-Ban」

「WP Ban」はIPアドレスやホスト名、ドメイン名などあらゆる方法でアクセス拒否を設定できるプラグインです。Wordpressで作ったサイトで特に多いスパム行為によって負荷がかかってサーバーがダウン・・・などとなる前に是非使っておきたいプラグインです。

www.momosiri.info

サイト内のページへ移動します

2017-10-29 11:31

を使って簡単にアクセス拒否してしまいましょう！！

不正アクセスにコンテンツ泥棒・・・そういうことを考えられる頭をもっといいことに使えばいいのに・・・。

表の中で種別が４となっているのが、今回問題となったユーザーアーカイブからユーザー名が類推されたものです。