WordPress, 不正アクセスのログ解析で分かる。xmlrpc, REST APIは要注意。

ご覧のページは 6 / 6 です。先頭ページはこちら。

Step6. xmlrpcからブルートフォースアタック。

RPC (Remote Procedure Call) はリモートでプログラムを動かす技術で、XML-RPCはインターフェースがXMLのもの。

REST APIが出てくるまではよく使われたものですが今では古い技術。しかしWordPressでは下位互換のために機能を残しています。

明確にxmlrpcをサポートしないといけないかぎり無効化しましょう。無効化はWebサーバーの設定で行ったほうがいいです。

WordPressですると、WebサーバーからPHPへ処理を移譲するトラフィックが大きくなってシステム負荷が高まるのでよろしくありません。

（それでもいいならしてもいいが。）

0.452 - - XXX.XXX.XXX.XXX - - [17/Apr/2021:06:23:14 +0900] "POST //xmlrpc.php HTTP/1.1" 200 415 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4240.193 Safari/537.36" "-"
0.375 - - XXX.XXX.XXX.XXX - - [17/Apr/2021:06:23:14 +0900] "POST //xmlrpc.php HTTP/1.1" 200 415 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4240.193 Safari/537.36" "-"
・
・
・
0.329 - - XXX.XXX.XXX.XXX - - [17/Apr/2021:06:39:20 +0900] "POST //xmlrpc.php HTTP/1.1" 200 512 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4240.193 Safari/537.36" "-"
0.299 - - XXX.XXX.XXX.XXX - - [17/Apr/2021:06:39:21 +0900] "POST //xmlrpc.php HTTP/1.1" 200 512 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/88.0.4240.193 Safari/537.36" "-"

xmlprcはWordPressでよく知られた脆弱性

xmlrpcはWordPressの脆弱性でよく知られたものです。古い技術は狙われやすいのが相場なのでWebではと言ったほうがいいかも。

ボクの場合、このxmlrpcでブルートフォースアタックを喰らいました。

『ユーザー名とパスワードが見えないんだけど？』と思うでしょうが、リクエストがPOSTです。ログにはそれは見えません。

見えませんが、15分間、パスワードを変えてログインを試みた（1200回の試行）ことは想像でき、失敗したようです。

（ログイン履歴にはなかったが、個人的には突破された可能性もあると思っている。今のところ被害は見つかってない。）

脆弱性を分かっててなぜ無効化してなかったか？

『脆弱性を知ってて放置してるのに講釈たれんな！』と言われそうですが、ボクの場合、Jetpackプラグインを使っているのであえて無効化はしてませんでした。

JetpackにはPVの集計機能があります。Google Analyticsより細かい集計はできませんが、シンプルにPV数だけを集計しているので大まかに確認するのに結構使える。

そのJetpackはxmlprcを使っています。無効化しなかったのは統計情報が取れないんじゃないかと思ったから。

今は統計に影響がないのが分かったので無効化しています。影響が出るのは、https://wordpress.comからWordPressの管理機能が使えないこと、また、自サイトとの連携が切断で表示されることくらい。

（WPサイトの管理画面のJetpackダッシュボードでは連携できてるので、完全に切れてるわけではないらしい。）