ワードプレス・ハッカーの攻撃をログして可視化

弊社が日々検出しているハッキングのログとして記録されている攻撃パターンで多いものをご紹介いたします。

２０２１年1月現在ハッカーがよく利用するハッキングのアクセスログ

ハッカーはワードプレスサイトを検索エンジンなどで見つけると、まずそのサイトに脆弱性や既に別のハッカーによって埋め込まれたバックドアや最初からテーマやプラグイン等に埋め込まれているバックドアがないか調べます。
そちらの手口で最近最も多く検出されている方法をいくつかご紹介いたします。

１　/wp-content/plugins/temp.php　/wp-content/uploads/2020/xx/content-post.php , doc.php

こちらは、既にハッキングによって埋め込まれているバックドアを別のハッカーが利用しようとして記録されるログです。このファイルがサイトにある場合は、ハッキングされている可能性がありますのでファイルがある場合は詳細に内容を検査する必要がございます。

２　/wp-content/plugins/media-library-assistant/includes/mla-file-downloader.php

このハッカーのアクセスログは、\/..\/..\/..\/wp-config.php　のようなクエリとともに検出されます。media-library-assistantプラグインの脆弱性を利用してwp-config.php設定ファイルをダウンロードしようとしているものです。

３　/wp-admin/admin-ajax.php action=revslider_show_image

こちらも上記同様、Slider Revolutionプラグインの脆弱性を利用してwp-config.php設定ファイルをダウンロードしようとしているものです。

４　/wp-admin/admin-ajax.php action=duplicator_download

こちらも上記同様、Duplicatorプラグインの脆弱性を利用してwp-config.php設定ファイルをダウンロードしようとしているものです。

すべてのワードプレスサイトは1日に平均４，５回の攻撃を受けるといわれています

どのような小規模なサイトであっても、検索エンジン経由でハッカーはサイトを見つけ出して上記のようなファイルにアクセスし、侵入可能かどうかを調べてサイトを攻撃してきます。全てのサイトは平均して1日に４，５ハッカーからの攻撃を受けるといわれています。
もし、脆弱性のあるファイルがサイトにあれば、ハッカーはサイトの改ざんを行い、悪意のあるプログラムをサイトに仕込んで、サイト全体を別のサイトに誤導したり、ユーザーにウィルスをダウンロードさせたり、仮想通貨を計算させたりなど不正な活動をサイトがしてしまうようにカスタマイズしてきます。