WAFがディレクトリトラバーサルの攻撃からWordPress、ブログを守るために出来ること

『ディレクトリトラバーサル』という閲覧禁止のブログ内ディレクトリへ侵入を試みる攻撃からWAF（ワフ：サーバーのセキュリティ）が守ってくれて。

攻撃者から見たら需要の多いWordPressはかっこうの的で、他人ではなく私にとつぜん降ってわいて。ネット上の脆弱性を狙った攻撃であって、WEBやプログラムの素人でも簡単にブログ運営できるから、そのへん無知なら穴でもあるんです。

ブルートフォースアタックの不正ログインからSiteGuard WP Pluginに守ってもらった次、この攻撃をWAFが侵入禁止して攻撃をかわしてました。誤認が面倒とセキュリティWAFを無効にしてたらどうなってたかな・・と思います。

狙われる前提でセキュリティ対策をしておかないとダメです。ディレクトリトラバーサルの攻撃がどんなもの。WAFが対処したこと。自分で出来る簡単なセキュリティ対策。常識だけど、どこまで浸透してるのか疑問ですので一度振り返ってみてくださいねっ。

ディレクトリトラバーサルって何なの？
WAFは誤認だけではない！攻撃を阻止した侵入ログを公開
1. 攻撃の侵入を阻止したWAFとは、何か！？
  1. wp-config.phpを起点の攻撃履歴
  2. テーマのdl-skin.phpからの侵入履歴
攻撃からWordPressブログを守る6つの行動
さいごに

ディレクトリトラバーサルって何なの？

ディレクトリトラバーサル
別名：ディレクトリトラバース，パストラバーサル，Path Traversal
【英】Directory Traversal

ディレクトリトラバーサルとは、ネットワーク上の脆弱性を利用した攻撃手法の一種で、「../」を利用してディレクトリを遡り、本来はアクセスが禁止されているディレクトリにアクセスする手法のことである。または、そのような脆弱性のことである。

ネットワーク上でディレクトリのパスを指定する際、「一つ上の階層へ上る」ことを指示する「../」のパスを組み合わせて指定することで、公開されているディレクトリの上階層から、その併置されている非公開のディレクトリへアクセスできてしまう場合がある。このような操作によって、個人情報や機密情報を盗まれたり、悪意あるコードを書き込まれたりといった被害を被る危険性が生じる。

参考：ディレクトリトラバーサル｜Weblio辞書

ディレクトリをさかのぼる為のパラメーター『..』をURLに入れて閲覧禁止ファイルに不正アクセスする攻撃なんですね。トラバーサルは日本語で、横断や横切りを意味して、ブログ内のディレクトリを横切って不正アクセスを行なう攻撃になります。

仮にWordPressの重要ファイル『wp-config.php』へ侵入されたら、ブログ管理上の情報が集まったデータ収集管理基地みたいな『データベース』へ入るユーザー名やパスワードなどが知られてしまいます。

それだけじゃなく、サーバーのホスト名やCookie情報などなど詰まったファイルです。自ブログ情報へ侵入されて情報を別のものに書き換えられたり、変なコードを埋められ知らないうちに攻撃に加担。。とか”無きにしもあらず”ではないでしょうか。

WAFは誤認だけではない！攻撃を阻止した侵入ログを公開

WAFの誤認は、phpや投稿ページ更新でよく起こし、何度かあったらうっとうしくなって機能をOFFにしたくなりますよね。誤認は、SiteGuard WP Pluginの設定方法を替えればなくなっていきます。

ディレクトリトラバーサルの攻撃で閲覧禁止ファイルへの不正アクセスを防いだ『WAFって何！？』ってところからサクッとみてみましょうか。

攻撃の侵入を阻止したWAFとは、何か！？

レンタルサーバーのWebアプリケーションファイアウォール（ワフ）はロリポップやヘテムル、さくらなどで登用されてるは、セキュリティWAFで不正侵入をブロックしてデータの改ざんや個人情報を盗まれないように守るためです。

WAFは誤認があるけど、外部攻撃から守ってくれるセキュリティですからWAFの誤認が面倒でセキュリティをきってると、最悪攻撃されデータベースに進入されるかもしれませんよ。

WAFとは

Webアプリケーションファイアウォール（ワフ）サーバーが扱ってるファイアーフォールのこと
外部から閲覧禁止ファイルに不正侵入があれば、進入を禁止して外部攻撃から守るセキュリティ。不正アクセスを検知したら、攻撃をブロックし403 Forbidden（アクセス権がないから閲覧禁止）を出しアクセスを遮断する。

WAFが検知して侵入を防いだログを見ると、wp-config.phpからさか上って侵入しようとしてたり、テーマのdl-skin.php経由の攻撃などがあったので、次に参考まで攻撃履歴を書いていきますね。

wp-config.phpを起点の攻撃履歴

プラグインやテーマの脆弱性をついてwp-config.phpが狙われてるようですね。誰が狙われるなんてわからないし、攻撃を受けて何をされるのかわかりません。

変なプログラムを埋め込まれでもしたら、ブログを即停止して、データベースを入れ替えないとダメですからね。

wp-content/pluginsのパターン

wp-content/plugins/google-mp3-audio-player/direct_download.php?file=../../../wp-config.php
wp-content/plugins/db-backup/download.php?file=../../../wp-config.php
wp-content/plugins/tinymce-thumbnail-gallery/php/download-image.php?href=../../../../wp-config.php
wp-content/plugins/pica-photo-gallery/picadownload.php?imgname=../../../wp-config.php
wp-content/plugins/dukapress/lib/dp_image.php?src=../../../../wp-config.php
wp-content/plugins/plugin-newsletter/preview.php?data=../../../../wp-config.php
wp-content/plugins/simple-download-button-shortcode/simple-download-button_dl.php?file=../../../../wp-config.php

themesのパターン

wp-content/themes/churchope/lib/downloadlink.php?file=../../../../wp-config.php
wp-content/themes/parallelus-mingle/framework/utilities/download/getfile.php?file=../../../../../../wp-config.php
wp-content/themes/lote27/download.php?download=../../../wp-config.php
wp-content/themes/parallelus-salutation/framework/utilities/download/getfile.php?file=../../../../../../wp-config.php
wp-content/themes/NativeChurch/download/download.php?file=../../../../wp-config.php
wp-content/themes/authentic/includes/download.php?file=../../../../wp-config.php
wp-content/themes/linenity/functions/download.php?imgurl=../../../../wp-config.php
wp-content/themes/epic/includes/download.php?file=../../../../wp-config.php
wp-content/themes/urbancity/lib/scripts/download.php?file=../../../../../wp-config.php
wp-content/themes/trinity/lib/scripts/download.php?file=../../../../../wp-config.php
wp-content/themes/antioch/lib/scripts/download.php?file=../../../../../wp-config.php

テーマのdl-skin.phpからの侵入履歴

dl-skin.phpをついた攻撃例で、テーマを片っ端からとっかえひっかえ闇雲に入れ込んだ攻撃だと感じますね。

テーマのdl-skin.phpからのパターン

wp-content/themes/infocus/lib/scripts/dl-skin.php
wp-content/themes/awake/lib/scripts/dl-skin.php
wp-content/themes/echelon/lib/scripts/dl-skin.php
wp-content/themes/dejavu/lib/scripts/dl-skin.php
wp-content/themes/elegance/lib/scripts/dl-skin.php
wp-content/themes/construct/lib/scripts/dl-skin.php
wp-content/themes/method/lib/scripts/dl-skin.php
wp-content/themes/persuasion/lib/scripts/dl-skin.php
wp-content/themes/modular/lib/scripts/dl-skin.php
wp-content/themes/myriad/lib/scripts/dl-skin.php
wp-content/themes/fusion/lib/scripts/dl-skin.php
wp-content/themes/infocus2/lib/scripts/dl-skin.php

参考最近のwp-config.phpメモ｜ログ取得ツール