/wordpress/ /wp/ /blog/ /new/ /old/ /backup/ /oldsite/ /back/ /2017/ /2018/ /div/ /temp/ 1巡目：レスポンスを見て何らかの目星をつけている雰囲気 2巡目：HEADとGETで /各ドメイン/xmlrpc.php 3巡目：GET /各ドメイン/wp-login.php もうこの辺でWordPressがあるかどうかはわかっていそう。 ※リダイレクト(302)で、ドメインAのWordPress管理画面URLが割れる。 2巡目の途中で、おそらくドメインB/xmlrpc.phpに複数回POSTがあり、 最後に APIでユーザー一覧 を参照してしばらく来なくなる。 ※この時にユーザアカウントの何らかの情報を取得された可能性があるのかも… セキュリティプラグインのXMLRPC防御機能があれば防げた可能性がある。 16時

(2021.1.26 追記) 本稿の続きを書きました。 時系列で見る：WordPressを運用中のサーバが丸ごとPHPマルウェアに感染する流れ https://qiita.com/Ayutanalects/items/e7919afadc7d8394820f 制作会社から「自社で管理中のサイトがおかしい」との連絡を受けて、 中をのぞいたら、PHP製の複数種類のマルウェアに感染していたので対応をメモ。 以下の内容は、あくまでも自分の対応時のものです。 攻撃者がスクリプトを変更すれば同じ方法では検出できなくなるのでご注意ください。 初期状態 症状 自社管理中のWordPressサイトにアクセスすると、全く知らないサイトにリダイレクトされる 今回は allc〇〇ling.shop というEC風サイト。Kasperskyを使っていると、「警察機関指定の危険サイト」の警告あり https://sup