Wordpressで不正ページが大量に作られてしまう

調査しましたがどうしてもわからずご教示いただけると幸いです。

現在以下サイトをwordoressにて運営しています。
https://tonarineko.com

9/1ごろから変なURLのアクセスが増え始めてきました。
最初は気にしていなかったのですが、アクセスしてみると別サイトの様にゲーム紹介サイトが量産されていました。
https://tonarineko.com/casino-royale-parkour#

不正ログインを疑ったのですが、投稿ページ、固定ページに該当記事は無く、引き続き作り続けられている状況です。
DBから直接消したいと思っているのですが、まずどの様な対応を取れば良いのか、ご教示いただけると大変助かります。
何卒よろしくお願いいたします。

CHERRY

2018/10/02 08:10

不正ログインだけでなく脆弱性を狙われている場合もありますので、WordPress のバージョンとお使いのプラグイン名とバージョンを書いていただけないでしょうか？

行動規範の内容に同意します

回答3件

少しサイト内を拝見させていただきました。メニューなども作られてしまっているようですね。サイトの中のコンテンツとして挿入されていますのでデータベース内に直接書き込まれているのでは？と想像します。

また、通常の投稿では末尾に作者情報が表示されていますが、量産されている側は表示がないということは、投稿データの中に情報がないですから、ここから見てもデータベースに直接流し込まれていると考えた方がいいかと思います。

データベースに接続できてしまえば
http://dotnsf.blog.jp/archives/1066764012.html
のような方法で投稿データを流し込むことはできてしまうようです。

対策としては、サイトに接続するすべてのもの（サイト内のユーザー・FTPの接続情報など）のパスワード変更、サーバーのログイン情報変更、そしてサーバー内のデータベースのパスワード変更（サーバー操作と同時にサイトのwp-config.phpのパスワード変更も必要です）でひとまず止まるかもしれません。

前述したようにWordpressのサイトから侵入されたというのは考えにくいですが、不正ログインされてデータベースを触れるようなプラグインを導入して接続して記事を挿入→プラグインを削除という手順でもデータベースの操作はできてしまう（このケースだとサーバー側のパスワードを変更しても無意味）ので、「CrazyBone」などのプラグインを使ってサイトへのログインのログを取るのも手かと思います。

ただし手の込んだことをする輩ですからそれらのログも消してしまう可能性もありますから完全とは言えませんね。

またコンテンツが英語なのでサーバーに海外からのログインURLへのアクセスを禁止する設定があるようならそれを有効にするのも手かと思います。

今ある不正コンテンツについては新着記事として8/20に作成されているようですのでその日あたりの記事をデータベース上（..wp-post.php）のデータを削除する必要があります。メニューについてはどうなっているか不明です。

なかなか完全排除というのは難しいかもしれませんが、思いつくままに書かせていただきました。参考になれば幸いです。

投稿2018/10/02 20:14

momosiri

総合スコア1509

KensukeTsutsumi

2018/10/03 08:47

回答頂きありがとうございます！取り急ぎパスワード系の変更と海外アクセス遮断を行いました。今のところ増えてなさそうです。数点きになったので共有します。・投稿名、カテゴリ名がDBに存在しなかった・console logエラーで「https://match.prod.bidr.io/cookie-sync/stv」のリクエストエラーが出ていた（スパムサイトっぽい）・wordpressにログインしていても、ヘッダーに「編集」ボタンが表示されない（wordpressではなく、静的ページとして認識されている）もし追加で考えられることがあればご教示いただけると大変助かりますmm

tabuu

2018/10/04 02:20

遮断されたのであれば大丈夫だと思います。状況からデータベースに記事として登録されたのではなく、ファイルを直接アップロードされたのではないかと推測しています。 FTPなのか、WordPressのプラグインの脆弱性を突かれたのかまでは分かりませんが、 Webサーバに不正なファイルが残っていないか確認されたほうがいいかもしれません。

行動規範の内容に同意します

FTP等でHTMLファイルをアップロードされている可能性もあります。
取り急ぎサーバアカウントを含めてパスワード類を変更されてはいかがでしょうか。

投稿2018/10/02 08:32

tabuu

総合スコア2449

自己解決

DBを落としてみたらスパムページも接続エラーとなったためWP内で動いていると特定
テーマを変更した所、スパムページのみ変らなかったので、一定期間で静的ページが作られている？
wp-load.php のみ更新日時が不自然なことを発覚
コードの一番最後に以下記述を発見
@include_once("wp-includes/pomo/wp-adjust-blog_ptk3x01/wp-adjust-blog_ptk3x01.php");
他のWPの/pomo 内を見たところ同じようなファイルがないことを確認
記述をコメントアウトした所、スパムサイトが404になったことを確認