OWASP Kansai × Nagoya『セキュアなWordPressを構築しよう！』 OWASP Nagoyaコラボ企画、セキュアなWordPressハンズオン！！ ブログやWebサイトを簡単に構築できるソフトウェアとしてコンテンツ管理システム（CMS：Content Management System）が広く利用されています。 中でも無料ソフトウェアのWordPressが有名です。 気軽に利用できる反面、セキュリティを考慮せずに誤った設定で利用すると困ったことになる可能性もあります。

1. OWASP Nagoya
WordPressハンズオン
～はじめに～
1
2019.09.29 (Sun)
OWASP Nagoya

2. 本日の目的
● OWASPが提供しているドキュメントを使用し、セキュアなWordPressの構築を
学び、実際に手を動かします。
＜OWASP Wordpress Security Implementation Guideline＞
https://www.owasp.org/index.php/OWASP_Wordpress_Security_Implementation_Guideline
● 今回は初心者向けの勉強です。具体的には下記の方に向けた内容です。
○ これからWordPressでサイトを構築したい方
○ 既にWordPressでサイト構築・運営していて、セキュリティ対策を行いたい
方
2

3. 本日の流れ
● テーマ１：OWASP WordPress セキュリティ実装ガイドラインのご紹介
○ 本日の趣旨説明 ＜・・・いま、ココ
○ WordPressの概要とインシデント事例
○ 【デモ】脆弱なWordPressへの攻撃とWPScanによる診断
○ 倫理について
● テーマ２：セキュアなWordPressの構築（ハンズオン）
3

4. WordPressとは
● 美しいサイトやブログ、アプリを作るためのオープンソースソフトウェア
● テーマを利用することにより、スタイルの柔軟な変更が可能
● プラグインを利用することにより、機能拡張が可能
● 記事をパスワード保護することにより、閲覧ユーザーの制御が可能
4
最新版：5.2.2（2019年8月15日現在）

5. WordPressのマーケットシェア
5
出典：W3Techs Market share trends for content management system for websites

6. 管理不足によるリスク
● 脆弱性対策情報データベース（JVN iPedia）に登録された、
WordPressに関する情報のほとんどがプラグインに関するもの*1
○ 2015.1-12：198 件
○ 2016.1-12： 77 件
○ 2017.1-12：191 件
○ 2018.1-12：230 件
○ 2019.1-7 ：101 件
● 導入後、アップデート等の適切な管理を実施しなければ
脆弱性を突かれ、情報漏洩や改ざんなどの被害にあってしまう
*1：検索キーワード：WordPress
6

7. 脆弱性が悪用された事例①
出典：piyolog
https://piyolog.hatenadiary.jp/entry/2019/04/17/183000
より
7
2019年3月以降、脆弱性の悪用が報告されたプラグインは次のもの

8. 脆弱性が悪用された事例①
出典：WPScan Vulnerability Database
https://wpvulndb.com/ より
8
（参考）
WPScan Vulnerability Database

9. 脆弱性が悪用された事例②
● 報告されたWebサイトの一部
○ 東京五輪・パラリンピック担当大臣公式サイト
○ 新潟青陵大学
○ 日本小児循環器学会
○ 東京家政学院大学
○ 日本体育学会
出典：piyolog http://d.hatena.ne.jp/Kango/20170205/1486314605より
9
2017年2月に公開された、REST APIの脆弱性を悪用した改ざんが国内でも多く
報告された

10. 脆弱性が悪用された事例③
出典：ロリポップ！https://lolipop.jp/info/news/4149/ より
10
2013年サーバ内のディレクトリ
のアクセス権限設定に問題が
あり、8,000以上のサイトが改
ざんされた

11. 本日の流れ
● テーマ１：OWASP WordPress セキュリティ実装ガイドラインのご紹介
○ 本日の趣旨説明
○ WordPressの概要とインシデント事例
○ 【デモ】脆弱なWordPressへの攻撃
○ 【デモ】WPScanによる診断
● テーマ２：セキュアなWordPressの構築（ハンズオン）
11

12. 本日の流れ
● テーマ１：OWASP WordPress セキュリティ実装ガイドラインのご紹介
○ 本日の趣旨説明
○ WordPressの概要とインシデント事例
○ 【デモ】脆弱なWordPressへの攻撃
○ 【デモ】WPScanによる診断
● テーマ２：セキュアなWordPressの構築（ハンズオン）
12

13. WPScanとは
・ WPScanはRubyで動作するWordPressの脆弱性診断ツールです。
・ 自身のシステムに対する脆弱性診断など、非商用の使用では無料で使用できます。
・ Linux OSやmacOSで動作しており、Windowsはサポートされていません。
＜前提条件＞
- Ruby> = 2.3 - 推奨：最新
- Curl> = 7.21 - 推奨：最新
- RubyGems - 推奨：最新
- Git
・ WordPressのプラグインとしても利用可能
・ 公式サイト：https://wpscan.org/
13

14. 脆弱性診断に求められる倫理
● 興味本位での診断は、絶対にしないでください。
○ OWASP主催の「脆弱性診断士スキルマッププロジェクト」
( www.owasp.org/index.php/Pentester_Skillmap_Project_JP )
では、次のように述べられています。
脆弱性診断士は、高い倫理を持ち、適切な手法で IT システムの脆
弱性診断を行える者
14

15. 脆弱性診断をする際の注意事項
● インターネットに接続していない、
ローカル環境で行うこと。
● 自身のものでないWebサイトについて、
許可なく勝手な脆弱性診断を行わないこと。
これら2点を基本としてください。
15

16. 16
Thank you. Any Questions ?