WordPressのDos攻撃踏み台対策

LINEで送る
Pocket

がじです。
WordPressの16万サイトが大規模攻撃の踏み台に、「Pingback」機能悪用
こんな記事が出てますね。

WordPressにはPingbackという機能があって、リンクが張られたのを通知してくれてリンクの輪が広がっていくのですが、この機能を悪用されているわけですね。

これに関してははてなブックマークでも
DoSの踏み台にされているJPドメインのWordPressをまとめてみた

でいろいろ情報が公開されているわけです。

で、まずはこのサイトが踏み台にされたかどうかを確認

Sucuri Research LabsSucuri Is my WordPress Site DDOS’ing others?
140316_00

今のところは大丈夫そうです。(ここ以外のサイトに対して攻撃してる可能性は否定できないけど)

では踏み台にされる前に対策しましょう。

Pinbackを完全に止めちゃうのもなんだかなーと思ったので
ここ
を参考に.htaccessを編集。


Order deny,allow
Deny from all
allow from 1.0.16.0/20
allow from 1.0.64.0/18
allow from 1.1.64.0/18
省略・・(国内IPをすべて書く)

と書いてみたら、国内IPの調べ方に問題があったらしく自分のPCから管理画面にアクセスできくなるという罠が・・・
orz

まあ自分のサイトのIPを追加すればいいだけの話なのですが、もうちょっと調べてからにしようということで、一時的にPinback機能を止めるプラグインを入れることにしました。

WordPress › Support » Disable XML-RPC Pingback
で検索すると

140316_01

こんな感じ

先頭のプラグインを有効化していったん対策終了。後で対策するけど忘れないように。
φ(..)メモメモ

LINEで送る
Pocket