WordPress, 不正アクセスのログ解析で分かる。xmlrpc, REST APIは要注意。

ご覧のページは 4 / 6 です。先頭ページはこちら。

Step4. REST APIからユーザー情報を取ろうとする。

1.857 - create 159.242.234.106 - - [17/Apr/2021:06:23:12 +0900] "GET //wp-json/wp/v2/users/ HTTP/1.1" 401 198 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4240.193 Safari/537.36" "-"

このリクエストはREST APIを使ってユーザー一覧を取得するものです。自分のサイトでこのリクエストを送信してみてください。

ブラウザからURL入力するだけでOK。すると、すべてのユーザーのパスワード以外のすべての情報が取得できます。危険。

（内容はお見せしません。自分で確認してください。）

REST APIを無効化するのもひとつの手なんですが、それだと投稿編集（Gutenberg）でカスタム投稿タイプ・カスタムタクソノミーが使えなくなるのでかなり痛い。

これもさっきのWordfence Securityをインストールするだけで解決できます。

さっきのREST APIリクエストをもう一度してみてください。レスポンスのJSONデータのステータスで『Unauthorized (401)』（認証の未承認）が返り、ユーザー情報は表示されません。

wp-json ってなんだ？

WordPressでは、REST APIを実装する機能が用意されていて、自分のサイトにどれくらいのAPIが実装されているか確認できます。

URLに "wp-json" がついているのは、REST APIのレスポンスをjson形式に変換しているから。このjson形式に変換するのも一つの機能で、ajaxでも使われます。

WordPressのREST APIではインタフェースのjsonラッパーだと思って下さい。

REST APIには認証なしでも情報取得できるものがある

ここからが大事なところで、WordPressのREST APIでは認証なしでもたくさんの情報が取れます。REST APIだけでもうひとつ同じサイトが作れるほど。やろうと思えば丸パクりサイトさえ作れます。

（これはこれで便利。もともとサイトで公開されている情報なので問題はない。）

それに加えプラグインが独自のREST APIを追加しているので、ひとつひとつのセキュリティチェックをするのには根気がいる。

既存機能を損ねる可能性もあるので安易に無効化することもできません。

このあたりもセキュリティプラグインはチェックしてくれます。さっきのWordfenceもそう。Wordfenceは既存機能を維持したまま、セキュリティ上危険なREST APIを無効化します。

さっきのユーザー一覧取得のREST APIがその例。