改ざんの標的となるCMS内のPHPファイル(2016-02-25) - JPCERT/CC Eyes
調査の結果、これらのPHPファイルが改ざんされたことにより、Webサイトからのレスポンス内に不正なコードが、閲覧者のアクセス毎に動的に挿入されていたことが判明しました。 改ざんされたPHPファイルによって不正なコードが挿入される仕組み 改ざんされたPHPファイルには、「//istart」および「//iend」というコメントに挟まれた、図 1のような不正なPHPコードが挿入されていました（不正なPHPコードが難読化されている場合も確認しています）。 この不正なPHPコードは、外部から取得したコードを挿入する機能を持っており、特定のURLから不正なコードを受け取り、特定の位置に挿入します。 図 1: 「//istart」および「//iend」に挟まれた不正なPHPコード 挿入される不正なコード Webサイトに閲覧者がアクセスすると、改ざんされたPHPファイル中の不正なPHPコードは、図 2のよ
Dance to Calypso
One of the hardest things to do in technology is disrupt yourself. But we’re trying our darndest, and have some cool news to introduce today. When I took on the responsibility of CEO of Automattic January of last year, we faced two huge problems: our growth was constrained by lack of capital, and the technological foundations of the past decade weren’t strong enough for the demands of next one. Th
サーバーが高負荷の原因はWordPressのxmlrpc.phpを狙った攻撃だった | SHINGO IRIE
ブログにアクセスしたらなかなか読み込まない。なんか重たくなってる！異変にきづいてサーバーにターミナルでアクセスを試みるもつながらず。サーバーのコンパネから強制的に再起動をして復旧した。その原因を調べたらWordPressのxmlrpc.phpにあった。 xmlrpc.phpに大量のアクセス apacheのログを調べたら、このように断続的に大量のアクセスがあった。apacheのエラーログをみると「server reached MaxClients setting, consider raising the MaxClients setting」と設定数以上のアクセスで、高負荷状態になり接続できなくなっていた模様。 xmlrpc.phpはそもそも、これを使うことで標準の管理画面以外からもAPIを使って、記事の投稿ができるようになるもの。どうやらここへのブルートフォースアタックでのっとりをしよう
WordPressに予約管理システムを導入できる「MTS Simple Bookin C 」の設定方法 – ワードプレステーマTCD
プラグインのインストール 下記のボタンからサイトにアクセスして、プラグインをダウンロードできます。 MTS Simple Bookin C 初期設定 プラグインを有効化すると、管理画面に「予約システム」という項目が追加されます。その中にある「各種設定」にアクセスしてください。順番に紹介する各種設定をそれぞれ完了した後は、必ず「変更を保存」をクリックしてください。クリックせずに、次のタブに進むと設定が保存されません。 予約パラメータ内の設定 予約の受付のチェックボックスにチェックを入れます。チェックを入れることで、予約受付中になり、外すと予約の受付ができなくなります。受付を行っていないときに表示するメッセージは任意に設定可能です。基本的にそれ以外の設定は変更不要ですので、「変更を保存」をクリックし次へ進みます。 施設情報の設定 施設の名称や、住所、連絡先などの基本情報を入力します。予約された
WordPressの創始者マット・マレンウェッグが来日、WordPressとウェブの未来について語りました
オープンソースのブログソフトとして人気のWordPress(ワードプレス)。そのWordPressの創始者であるマット・マレンウェッグ氏が本日2014年6月7日(土)に開催されたWordCamp Kansai 2014に登壇して基調講演を行いました。マット氏はスピーチでWordPressの過去・現在・未来とウェブの未来について語っています。 WordCamp Kansai 2014 | 知識と経験の灯をわかちあおう http://2014.kansai.wordcamp.org/ Matt Mullenweg | Unlucky in Cards http://ma.tt/ グランフロント大阪に到着。 WordCamp Kansai 2014の会場はナレッジキャピタル・タワーCの8Fです。 会場には多くの人が集まっており、マット氏の到着を待っています。 WordCamp Kansai 20
Wckansai 2014
Как Web-акселератор акселерирует ваш сайт / Александр Крижановский (Tempesta ...Ontico
[WordPress] xmlrpc を利用した踏み台攻撃への対応について
Sucuri で以下の記事が投稿されてから、にわかに注目されてきましたね。 More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack | Sucuri Blog コーポレートサイトとかで、そもそも xmlrpc 使ってないよって場合は、Web サーバレベルで追い返しちゃいましょう。 This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters. Learn more
![[WordPress] xmlrpc を利用した踏み台攻撃への対応について](https://cdn-ak-scissors.b.st-hatena.com/image/square/8d71ff5111e05619a10d29bb40d7aebaa75c8fbc/height=288;version=1;width=512/https%3A%2F%2Fs0.wp.com%2Fi%2Fblank.jpg)
DoSの踏み台にされているJPドメインのWordPressをまとめてみた - piyolog
Krebsが自分のサイト(KrebsOnSecurity)に対して41,000超のWebサイトからDoSを受けていると報告しています。 このDoSはWoredpressのpingbackを悪用したものらしく、先日、Sucuriもpingback機能を悪用したDoSについて報告していました。 More Than 162,000 WordPress Sites Used for Distributed Denial of Service Attack WordPressの16万サイトが大規模攻撃の踏み台に、「Pingback」機能悪用 - ITmedia エンタープライズ pingbackを悪用したDoS方法 pingbackはハイパーリンクを設置したことを通知する仕組みですが、リモート投稿(XMLRPC)の機能（WordPressのxmlrpc.php）に対して次のPOSTを送信するとそのW
WordPress < 3.6.1 PHP Object Injection - tom.vg
WordPress < 3.6.1 PHP Object InjectionUpdate WordPress to avoid Remote Code Execution attacks 11 September 2013 After reading a blog post about a “PHP object injection” vulnerability in Joomla, I dug a bit deeper and found Stefan Esser’s slides of the 2010 BlackHat conference, which showed that PHP’s unserialize() function can give rise to vulnerabilities when supplied user-generated content. So b
CollabPress
This plugin hasn’t been tested with the latest 3 major releases of WordPress. It may no longer be maintained or supported and may have compatibility issues when used with more recent versions of WordPress. Description CollabPress adds project and task management functionality to WordPress. Easily create projects and assign tasks to users. Features include: Unlimited projects, task lists, tasks, an
危険なのは admin だけじゃなかった！WordPress で気をつけたいユーザー名
危険なのは admin だけじゃなかった！WordPress で気をつけたいユーザー名 2013年05月21日 15:46WordPress こないだこんなことを書きました。 WordPressへの不正アクセスログを記録して見せてくれるプラグイン Crazy Bone – 頭ん中 特に WordPress 3.0より前は デフォルトの管理ユーザー名が admin だったので、 admin という名前のユーザーがいると想定して それに対して大量の総当たり攻撃を仕掛けている輩がいるようです。 実際にユーザー名 admin での不正ログインが試されているログを Crazy Bone で記録してみたんだけど もうしばらくして確認してみたら、他にも面白いものが出てきました。 admin だけじゃない ユーザー名 admin を狙った攻撃が多発してるのは確かなんだけど 実は admin だけじゃなかっ
WordPress cache plugins enabled remote PHP execution - The H Security: News and Features
The popular WordPress caching plugins WP Super Cache and W3 Total Cache, with around six million downloads between them, have both been found to have a vulnerability that allows remote users to use them to execute arbitrary PHP on the server. Cache plugins are designed to relieve the load on WordPress sites by saving the latest versions of pages in memory and serving the saved version to users fro
WordPressでブログ以外のサイトを作る 〜カスタム投稿タイプやカスタムフィールドの使い方〜
WP-CLIとWordPress公式ディレクトリを活用した爆速サイト構築術 ーインストールからデザイン、ページ作成までを10分でータカシ キタジマ
WordCamp Osaka 2019
WordCamp Osaka 2019 2019年12月6日(金) 7日(土)に開催されるWordPressの公式イベント
パスワードリセット
以下は、Matt Mullenwegが書いた WordPress.org 公式ブログの記事、「Passwords Reset」を訳したものです。 注意: 本日以降 WordPress.org（ja.wordpress.org と共通）フォーラムなどにログインする際、パスワードリセットが必要になります。 なお、Codex 日本語版は別サービスのため、パスワードのリセットは必要ありません。 今日の早朝、WordPress チームは、いくつかの人気のあるプラグイン（AddThis、WPtouch、W3 Total Cache）への巧妙に偽装されたバックドアを含む疑わしいコミットに気づきました。私たちはこのコミットが作成者本人からのコミットではないと断定し、これらのプラグインをロールバックし、強制的に更新しました。また、他にこの不愉快なことがなかったどうか調べる間、プラグインリポジトリへのアクセス
3.0.4 Important Security Update
Version 3.0.4 of WordPress, available immediately through the update page in your dashboard or for download here, is a very important update to apply to your sites as soon as possible because it fixes a core security bug in our HTML sanitation library, called KSES. I would rate this release as “critical.” This issue affects all versions of WordPress prior to 3.0.4, so if you are still on a 2.X rel
Wordpress SEO: これを読めば後は何もいらない！ » SEO Japan
無料で資料をダウンロード SEOサービスのご案内 専門のコンサルタントが貴社サイトのご要望・課題整理から施策の立案を行い、検索エンジンからの流入数向上を支援いたします。 無料ダウンロードする ＞＞ 皆さんもご存知のように、私はワードプレスを愛用している。私はアフィリエイトサイトの大半でこのプラットフォームを利用しており数千ドル/月の収益を手に入れている。また、このブログを含むブログにも利用している。しかし、このCMSを活用しているのは私だけではないはずだ — 実際に無数のサイトがこのソフトウェアをベースにしている。 そのため、ワードプレスを称賛する声は後を絶たない。しかし、デフォルト時のSEOに関してはメリットの一つに挙げることは出来ない。私は、このソフトエウェアを多用し、検索エンジンのトラフィックのおかげで多額の収入を得るなかで、ワードプレスの設定の最適化における最良の方法を編み出した。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
WordPressの常識をくつがえす超簡単テーマ"doshirouto"を作ったのでこれでテーマを理解しよう!
エンジニアの為のWordPress入門 〜WordPressはWebAppプラットフォームです〜
【Movable Type対応】PHPショッピングカート SKELETON CART
