パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

サーバ証明書の発行を検知、初期状態のWordPressに侵入する手口が横行」記事へのコメント

  • by Anonymous Coward

    WordPressは初期インストール状態だと脆弱でインストール後に設定を変更する手順が必要ってこと?
    だとしたらそこを改善すべきような

    • Re: (スコア:5, 参考になる)

      ・WordPressを設定するためには、公開URLを確定する必要がある(virtualHostなどで複数のURLからアクセス可能な状況でも、設定と違うURLからアクセスすると怒られる。httpとhttpsも区別される)ので、httpsで公開するサイトを作るためには、WordPressを設定する前に、証明書の設定が必要

      ・WordPressの初期状態でアクセスすると「DB設定やパスワード登録などを行う初期設定画面」が出るので、その段階でアクセスできれば誰にでも好き勝手できる(推測ですが、攻撃者は、パスワード登録して利用開始→不正ファイルアップロード→設定クリアして初期状態に戻す、という対応をしてるんじゃな

      • by Anonymous Coward

        なにはともあれ、まずWebサーバーへアクセスできるマシンやIPアドレスを限定すべきでしょう。
        その後の設定とか準備したあとに公開していい状態になるわけで、初期状態で最初から全世界に公開しておくっておかしすぎて理解できない。
        ひょっとしてWeb界隈では手順として普通なのか?

        • Let's Encryptのドメイン所有者確認(HTTPチャレンジ)では、
          Let's Encrypt側から指示されたファイルをWebサーバに置く必要があるので、
          IPアドレス制限なりBASIC認証なりをかける場合は、
          そのファイル置き場所は誰でもアクセス可能にする、という一手間が発生します。

          DNSチャレンジならWebサーバ非公開でも問題ありませんが、HTTPチャレンジよりもはるかに設定が面倒。

          まあ、結局のところ、問題の起きない正しい方法はありますが、それなりに手間が入り組んでるので、
          初心者でも簡単に設定できるとサイト管理の心得がない人が手を出して
          穴を開けてる、ってことでしょうね。

          親コメント

UNIXはシンプルである。必要なのはそのシンプルさを理解する素質だけである -- Dennis Ritchie

処理中...