WPへの海外アタックが酷い・・・

WordPressはCMS世界シェアNo1！豊富な無料プラグインもあり、とっても便利ですよね。私もWordpressのブログをいくつも運営しています。（ほぼ無収益ですけどｗ）

世界シェアNo1だけあって、もの凄く海外からのアタックが多いです。レンタルサーバーでお世話になっているロリポップでは、ログイン画面のPHP（wp-login.php）のみ海外からのアクセスをブロックしてくれています。

これにより、海外からのロボットによるPW攻撃を防いでくれている訳なのですが、ちょっと不安になりログイン試行回数を制限してサイトのセキュリティを向上させるプラグイン「Limit Login Attempts Reloaded」を入れてみました。

プラグインを導入してしばらくしてから、アクセスログなどを観てみて驚愕しました。

なんと、失敗したログイン回数が1日100万回を超えていたのです！

へ！？

こんな一日数人しか閲覧しない辺境のWPにアタック攻撃してくるってどういう事なのｗｗｗｗって、私もしかして海外でバズってるのかしら？とか無駄な事思いながら、同じく運営していた他のブログもログをみたら、同じく1日100万回以上アタック攻撃をされていたのです！！

キャーこわーい。。。

「Limit Login Attempts Reloaded」には、パスワードロック機能の設定があり、一日何回か間違えるとロックし、通知を送ってくれます。

結構厳しめにロック設定をしたものの、さほどアタック数は変わりませんでした。

「Limit Login Attempts Reloaded」のログのタブをみると、どのIPアドレスがロックされたのか観る事ができます。

私は最初この画面の「ゲートウェイ」の意味が解らなかったのですが、ゲートウェイには「wp_xmlrpc」と書かれています。

どうやら、ログイン画面からアタックを試行している訳ではなく、「wp_xmlrpc.php」からアタックをかけているようなのです。

「wp_xmlrpc.php」は何かと言うと、スマホなど、メールから記事を投稿できるシステムがWordpressにはあります。その機能のPHPとなります。

メール投稿を使っているユーザーならしかたないのですが、PCから投稿している者からすると不要な機能ではありますよね。かといってこのPHPを削除しても、元に戻るらしく、対処法は「wp_xmlrpc.php」へのアクセス自体を完全に防ぐ事しかないようです。

方法は、.htaccessに下記を加えるだけ

# xmlrpc.phpへのアクセス禁止
<Files xmlrpc.php>
Order Allow,Deny
Deny from all
</Files>

数日後に再度、アクセスログを確認すると、ロックされたIPは今のところ無しだった。

しかし、失敗したログイン回数はかなり減ったものの、まだ50万位あった、、、もはやこれは仕方ないのだろうか・・・・

怖いですねぇ～皆さんもWPのセキュリティ対策はしておきましょう！

とりあえずPWは複雑なモノにしましょうねー！