WordPressの乗っ取り。くらうと復帰が大変です。
ということで、やっぱり防御が一番大切。
アカウントとパスワードはしっかり管理することは当然ですが、セキュリティ対策として出来ることはするべきです。
WordPressのセキュリティプラグインはSiteGuardさんがおすすめ。
なにがいいって、開発元が日本国内で設定画面を含め、日本語であるところ。そして、ログイン画面にひらがなの文字承認がつけられるのもいいですね。
そして、SiteGuardには、ログイン履歴を見ることも出来るのですが、ある日こんなことになっていました。
DDoSアタックだか、ブルートフォースアタックだか知りませんが、数分おきにアタックされてます。やめてくれ！って感じです。
セキュリティプラグインのお陰で、ブロックもしてくれるようですが、それでも心配だしサーバーにムダな負担をかけているようで気になります。
ということで、これらの変なアクセスをブロックしてしまいます。IPアドレスの場所を見ると、ほぼ海外からのアタックですので、国内以外のIPからは管理画面のログイン画面を含め、XMLRPCなどアタックの対象になるものをブロックします。
ブロックするのは、wp-admin、wp-login.php、xmlrpc.php、wp-cron.php の４つ。
WordPressの設置ディレクトリにある、.htaccessの最後に以下を追記します。（最後に追記するのは、あまりにも行数が多いから。）
order deny,allow deny from all allow from 1.0.16.0/20 allow from 1.0.64.0/18 allow from 1.1.64.0/18 ・ ・ ・ allow from 223.223.164.0/22 allow from 223.223.208.0/21 allow from 223.223.224.0/19
allow from のところに、アクセスを許可するIPアドレスを入れておきます。が。国内のIPアドレスすべてを入れるので、かなりの行数になります。
国内のIPアドレスは、こちら→http://www.cgis.biz/tools/access/
で教えていただけます。
