SQLインジェクションによるWordPressの攻撃は、壊滅的な被害をもたらす可能性があります。
このような悪意のあるプログラムは、データを危険にさらすだけでなく、サイト全体をダウンさせることさえあります。
このような大きな脅威を防ぐ方法を学ぶことは、セキュリティ全体にとって不可欠です。
幸いなことに、こうしたハッキングに対して無力感を感じる必要はありません。
いくつかの安全策を講じることで、自分自身、そしてユーザーをSQLインジェクションの脅威から守ることができます。
この記事では、SQLインジェクションによるWordPressの攻撃とは何かについて説明します。
そして、SQLインジェクションの被害に遭わないための5つの対策を紹介します。
それでは、さっそく見ていきましょう。
SQLインジェクションWordPress攻撃入門
SQLとは、Structured Query Language（構造化照会言語）の略です。
WordPress は、サイトのデータベースから重要な情報を取得するために SQL を使用します。
これがなければ、サイトは動的なコンテンツを生成することができません。
このように、SQL はウェブサイトにとって不可欠な要素です。
残念ながら、SQLインジェクションを使ったWordPress攻撃を行うハッカーは、このこともしっかりと認識しているのです。
ハッカーは、SQLで悪意のあるステートメントを書くことによって、データベースサーバーをターゲットにすることができます。
これらは通常、あなたのサイトのバックエンドで実行されるコマンドを模倣します。
そして、さまざまな入力フィールドの脆弱性を利用するのです。
ログイン・フォーム、コメント欄、コンタクト・フォームなどです。
適切なセキュリティ基準がない場合、WordPressは不正なコードを正当なコマンドとして処理し、ハッカーにデータへのアクセスを許可します。
このアクセス権があれば、ハッカーがあなたのサイトに対してできないことはほとんどありません。
例えば、クレジットカード番号やその他の金融情報を盗むことができます。
また、データをすべて削除して、高額な身代金を要求されることもあります。
WordPressでSQLインジェクションを防ぐ方法
幸いなことに、サイトを保護するために入力フィールドをなくす必要はありません。
ここでは、WordPressのSQLインジェクションを防ぐための具体的な方法を5つ紹介します。
- ユーザーが送信したデータを検証またはサニタイズする
- セキュリティスケジュールに従ってください。
- カスタムデータベースエラーメッセージを作成する
- アクセス制限や不要な機能を制限する
- 高度なセキュリティツールの検討
1. ユーザーが投稿したデータを検証またはサニタイズする
バリデーションとサニタイズは、通常、専門家に任される技術的なプロセスです。
開発者は一般的に、WordPress のコア機能を使用して、サードパーティーのプログラムでこれらのタスクを実行します。
しかし、開発者でなくとも、よりシンプルな方法でSQLインジェクション攻撃を防ぐことができます。
まず、バリデーションから始めましょう。
バリデーションは、ユーザーの入力が期待される形式と一致するかどうかを、処理を始める前に確認するものです。
例えば、WordPressでは、メールアドレスの入力に@記号がない場合、その入力は検証されません。
通常、カスタムフィールドにも同様のルールを適用することができます。
例えば Formidable Forms では、テキストフィールドに独自の入力マスク形式を入力することができます。
できるだけ多くのフィールドに適用することで、SQLインジェクションのリスクを抑えることができます。
検証に加えて、サニタイズも攻撃の可能性を低くすることができます。
サニタイズは、検証されたデータを安全に処理することを保証します。
特定のフィールドで特殊文字の使用を制限することで、データのサニタイズに役立てることができます。
例えば、シングルクォート（’）は、SQLコードでよく使われる部分です。
たとえば、シングルクオート（’）はSQLコードでよく使われる部分なので、入力に使用しないようにすることができます。
また、自由形式のフィールドの代わりにドロップダウンメニューを使用することもできます。
たとえば、ユーザーが居住する州を選択するためのドロップダウンを提供することを検討します。
これにより、ユーザーエクスペリエンスに影響を与えることなく、ハッカーがあなたのデータにアクセスする機会を減らすことができます。
WordPressのフォームプラグインの多くは、SQLインジェクション攻撃からデータを保護するために自動的にサニタイズ処理を行いますが、独自の保護を追加することは、セキュリティをさらに向上させるための良いベストプラクティスであり、ユーザー送信用のフォームを独自に作成する場合には特に重要なことです。
2. セキュリティスケジュールを守る
定期的なセキュリティ監査が重要であることは、すでにご存じかと思います。
しかし、SQL攻撃に関しては、いくつかの追加ステップを加えることで、効果的に日常業務を強化することができます。
最も重要な手順の1つは、最も簡単なもので、ソフトウェアを積極的に更新することです。
アプリケーションは、SQL攻撃に対して無防備ではありません。
ハッカーはサードパーティのソフトウェアを使って、あなたのサイトにアクセスすることができるのです。
開発者は、セキュリティ上の欠陥を見つけると、それを修正するためにアップデートをリリースします。
したがって、パッチが出たらすぐにソフトウェアをアップデートすることが肝要です。
これは、プラグイン、テーマ、WordPressコアに適用されます。
一般に、この種の攻撃に対しては、SQL文を継続的に監視することがベストプラクティスとされています。
しかし、使用するツールがこれを行うという保証はありません。
したがって、サイトへのアクセスを許可するプラグインを選択することをお勧めします。
これには、レビューを注意深く読み、多くのアクティブユーザーを持つプラグインを選び、評判の良いソースにこだわることが含まれます。
これによって、無効化されたテーマや不具合のあるコードのリスクを回避することができます。
3. カスタムデータベースエラーメッセージを作成する
データベースエラーに遭遇することは珍しいことではありません。
とはいえ、中にはサイトのインフラに関する非常に特殊な情報を表示するものもあり、SQLインジェクションに対して脆弱な状態になってしまうこともあります。
あるStack Overflowのユーザーが、このオーバーシェアリングがどのようなものかを示す例を投稿しています。
データテーブルをよりよく理解することで、悪意のある行為者はSQLインジェクションであなたのサイトを攻撃することが容易になります。
これに対抗する簡単な方法は、代わりに一般的なエラーメッセージを提供することです。
まず、ファイル転送プロトコル（FTP）クライアントがサイトに接続されていることを確認します。
私たちはFileZillaを愛用していますが、評判の良いプログラムなら何でもかまいません。
次に、新しいファイルを作成します。
テキストエディタでもコードエディタでもかまいません。
ファイル名は db-error.php とします。
そして、以下のコードを貼り付けます（ソース）。
<title>Database Error</title>
body { padding: 20px; background: red; color: white; font-size: 60px; }
There has been a database error.
ただし、これは単なるテンプレートに過ぎません。
メッセージは自由にカスタマイズできます。
例えば、あなたのウェブサイトが強いブランド・パーソナリティを持っているなら、その要素を取り入れるチャンスです。
作業を保存したら、FTPクライアントを開き、サイトのルート・フォルダーに移動します。
そして、wp-contentフォルダを開いてください。
新しい db-error.php ファイルをここに保存し、サイトを更新してください。
このドキュメントを追加することで、あなたのサイトにはカスタムメッセージが表示されるはずです。
SQLインジェクションを念頭に置いたハッカーは、あなたのインフラについてのヒントを得ることができませんし、メッセージに遭遇したユーザーはテキストの壁に圧倒されることはありません。
4. アクセス制限と不要な機能の制限
ご存知の通り、WordPressには様々なレベルのアクセス権があります。
低ランクの購読者から、フルアクセス可能な管理者ロールまで、さまざまなロールがあります。
ロールによって、アクセスできる「ケイパビリティ」やダッシュボードの領域が異なります。
たとえば、新しいプラグインをインストールする機能がその一例です。
通常、上位のロールはより多くの能力やデータ入力方法にアクセスできるため、このアクセス権を持つ人の数を制限すれば、SQL WordPressインジェクション攻撃の確率が自動的に低くなります。
設定 → 新規ユーザーのデフォルトロール で、新規ユーザーのデフォルトロールを最も低いアクセスロールに設定することができます。
不要な入力欄についても、同じ原則が当てはまります。
コメント欄や検索バーをなくせと言っているのではありません。
しかし、最初のヒントで紹介したドロップダウン方式を採用すれば、サイトの安全性を確保する上で大きな効果が期待できます。
さらに、サイトの共有アカウントを許可しないこともお勧めします。
例えば、3人の管理者がいる場合、それぞれのユーザー名とパスワードが必要です。
SQLの不審な動きがあった場合、その原因を追跡し、ブロックすることが容易になります。
さらに、安全なランダム化されたパスワードを覚えるのが困難なユーザーには、パスワード・マネージャーの使用を検討することをお勧めします。
5. SQL インジェクション WordPress 攻撃を防ぐための高度なセキュリティ ツールを検討する
お気づきのように、SQL攻撃から身を守る方法の多くは、かなり技術的なものです。
言い換えれば、それらはほとんどウェブ開発者（いる場合）の責任です。
ウェブサイトを運営している場合、WordPressの専門家になって自分でプログラムをコーディングしている時間はないかもしれません。
しかし、これはあなたが無力であることを意味するものではありません。
高度なセキュリティ技術に投資して、自分の安全を確保することも検討できます。
特にファイアウォールは、SQLインジェクションに対して非常に効果的です。
ファイアウォールは、このような攻撃の仕組みに関する最先端の知識に基づいて開発されていることが多く、新たな攻撃を防ぐことが容易になります。
幸いなことに、ファイアウォールを提供する高品質のセキュリティ・プラグインがいろいろとある。
中には有料のものもありますが、無料のプラグインでもサイトを保護することは可能です。
しかし、セキュリティのための予算は確保しておくことを強くお勧めします。
この投資が、結果的にあなたのウェブサイトを救うことになるかもしれません。
最後に、ほとんどのサイトでは、SSL証明書を取得し、HTTPSを使用する必要があります。
Let’s Encryptから無料で取得することができます。
攻撃に対するセキュリティが向上するだけでなく、ユーザーがアクセスしようとしたときにセキュリティの警告が表示されるのを防ぐことができます。
このように、どのような種類のサイトであっても、これは必要不可欠なステップであると私たちは考えています。
SQLインジェクションWordPress攻撃を未然に防ぐ
ウェブサイトを運営していると、SQLインジェクションによるWordPressの攻撃は、最悪の悪夢となります。
幸いなことに、これらの攻撃に対して完全に無力というわけではありません。
いくつかの簡単な予防策を講じることで、悪意のある行為者からデータを守ることができます。
今回は、あなたのサイトを安全に保つための5つのヒントを取り上げました。
-
- ユーザーが送信したデータを検証し、サニタイズする。
-
- セキュリティスケジュールに従って、プログラムを常に最新に保つ。
-
- カスタムデータベースエラーメッセージを作成し、機密情報をカモフラージュする。
- 4.ウェブサイトへのアクセスを制限する。
- 5.高度なセキュリティツールの使用を検討する。
これらのヒントに加え、一般的なWordPressセキュリティのベストプラクティスに従っていることを確認する必要があります。
- WordPressのセキュリティに関する10のヒント
- WordPress のセキュリティを強化する 4 つの方法
WordPressのSQLインジェクション攻撃対策について、何かご質問はありませんか？以下のコメント欄でお知らせください。
