パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

サーバ証明書の発行を検知、初期状態のWordPressに侵入する手口が横行」記事へのコメント

  • by Anonymous Coward

    WordPressは初期インストール状態だと脆弱でインストール後に設定を変更する手順が必要ってこと?
    だとしたらそこを改善すべきような

    • Re: (スコア:5, 参考になる)

      ・WordPressを設定するためには、公開URLを確定する必要がある(virtualHostなどで複数のURLからアクセス可能な状況でも、設定と違うURLからアクセスすると怒られる。httpとhttpsも区別される)ので、httpsで公開するサイトを作るためには、WordPressを設定する前に、証明書の設定が必要

      ・WordPressの初期状態でアクセスすると「DB設定やパスワード登録などを行う初期設定画面」が出るので、その段階でアクセスできれば誰にでも好き勝手できる(推測ですが、攻撃者は、パスワード登録して利用開始→不正ファイルアップロード→設定クリアして初期状態に戻す、という対応をしてるんじゃな

      • by Anonymous Coward on 2022年05月20日 9時19分 (#4252440)

        オレオレ証明書ってクライアント側の判断用でクライアント側がOKならアクセスできるのでは?
        クライアント側を制限するときは、オレオレ個人証明書でないの?

        親コメント
        • by Anonymous Coward

          オレオレ証明書ならCT公開ログに記録されることが無いので、CT公開ログを監視しているだけの攻撃者には気付かれることが無い、というだけのことでしょ

          もちろん理想的には Wordpress の設定完了まではアクセス可能なクライアントを制限するべきだけど、CT公開ログから検知されるのを防ぐだけならこの方法でできる。

海軍に入るくらいなら海賊になった方がいい -- Steven Paul Jobs

処理中...