不正アクセスにあってワードプレスを一度全削除、そこから復活までの9日間

こんにちは、皆さんバックアップの大事さ分かってますか？

バックアップをシステム任せにしてませんか？意識してやってますか？

改めてバックアップの大事さに気付かされる出来事があったので、今後のためにも記しておきたいと思いました。

私はこれとは別に運営しているサイトがあるんですけど、そのサイトが『不正アクセスされたよ』って、エックスサーバーからメールが来ました。

[st-kaiwa1]げっ？エーーーーー！[/st-kaiwa1]

サイトにアクセスしてみるとなんとnot foundになっている。

でも冷静になりましょう、このテクノロジーが発達した世の中なんですから復元できない訳がない。多分、、、。

結果的に9日かかって復元した話をまとめました。（素人なもんで）

みなさんバックアップが大事なことはよ〜く分かってると思いますが、何かあった時に簡単に復元できることが大切だと思いました。なんせ９日掛かりましたから。（素人なもんで）

復元までの手順をざっくり言うと。

サーバーから必要なデータをバックアップ→

現在のブログ全削除→

エックスサーバーへ削除したと報告→

エックスサーバーからサーバー凍結解除のメール来る→

新たにドメイン登録、wordpressのインストール→

FTPでバックアップデータを入れる→

うまくいけばこれで完了。理屈的には簡単なんですが、すんなり行かないんですよね。

どんな状況になったのか？

[st-kaiwa1]うそーん（ ; ; ）[/st-kaiwa1]

写真のように海外からの不正アクセスにより、何かファイルを作られ不正に操作されようとしていたらしいです。

復元のための対応①　バックアップを取る

下記メールの内容にあるとのPCのセキュリティチェックとFTPアカウントのパスワード変更を行います。

【3】お客様に行っていただきたい対応内容について

お客様のご利用PC端末や運用中のWebサイトのセキュリティ対策は
お客様ご自身にて管理を行っていただく責任がございます。

この度の不正アクセスについて、原因を根絶し、不正に設置されたファイルや
改ざんされたファイルをサーバーアカウント上から完全に駆逐するため、
大変お手数ですが、下記作業をなさいますようお願いいたします。

───────────────────────────────────
ご利用のPCにてセキュリティチェックを行ってください。
———————————————————————-

お客様のご利用PC端末にてセキュリティソフトを最新版に更新していただき、
ウイルスチェックと駆除をおこなってください。

また、Windows UpdateやAdobe Reader、Flash Playerなどの
ご利用PC端末にインストールされているソフトウェアにつきましても、
最新版へ更新してください。

───────────────────────────────────
該当のFTPアカウントのパスワードを変更してください。
———————————————————————-

「サーバーパネル」→「FTPアカウント設定」にてパスワードをご変更ください。

※これまでと同じパスワードは絶対に設定しないでください。
また、アルファベット・数字を絡めた、第三者に推測されづらい
パスワードをご設定ください。

───────────────────────────────────
サーバーアカウント上に設置されたファイルを全て削除してください。
———————————————————————-

お手数ですが、下記の手順にて「独自ドメイン」「初期ドメイン」、および
「その他のフォルダ」に設置されたファイルの削除をお願いいたします。

※この作業による、データベースの初期化・削除はございません。

【！】ご注意ください

下記の作業により、お客様のサーバーアカウント上に設置されている
ホームページデータやメールデータおよび各種設定がすべて削除されます。

画像、プログラム、設定ファイルやメールデータ、メールアドレス一覧などの
必要なデータは事前にバックアップを取った上でご対応ください。

————————————————————
◆「独自ドメイン」のデータ削除について

「サーバーパネル」→「ドメイン設定」より、設定中のドメイン名を
すべて削除してください。

※オプション独自SSL証明書が設定されているドメインに関しては
「ドメイン設定」より対象ドメインの「初期化」より
「ウェブ領域・設定の初期化」をご利用ください。

◆「初期ドメイン」のデータ削除について

「サーバーパネル」→「ドメイン設定」へアクセスしていただき、
削除が不可能な初期ドメイン名を「初期化」してください。

※「ウェブ領域・設定の初期化」をご利用ください。

◆「その他のフォルダ」のデータ削除について

FTPソフトや「ファイルマネージャ」でサーバーアカウントを参照し、
アクセスした際に表示されるフォルダが以下のみになることを
ご確認ください。

・「初期ドメイン名」のフォルダ
・(オプション独自SSLを利用している)「ドメイン名」のフォルダ
・「ssl」フォルダ

上記以外のフォルダやファイルが存在する場合、
FTPソフトやファイルマネージャーにて個別に削除してください。
————————————————————

───────────────────────────────────
をご対応いただきましたら、サポートまでお知らせください。
———————————————————————-

[st-kaiwa1]はうっ！全てを削除！うううううっっっっ。苦しい。[/st-kaiwa1]

もう仕方ないので言われた通りにやるしかないです。

まずFTPソフトを使いバックアップを取る。

wordpressでのFTPソフトFileZileを使ったバックアップの取り方はこちら

wordpressでのFTPソフトFileZileを使ったバックアップの取り方自分が管理するサイトが不正アクセスが検知されたということで、データを全削除しました。その際に行った手順をまとめるのと、他の人が出...

FTPソフトはFileZilaを使いました。

僕がバックアップを取ったのはこれ。色々調べてこうしました。

・wp-config.php　場所はドメイン名フォルダ→public_htmlの中

・uploadsフォルダ　場所はドメイン名フォルダ→public_html→wp-contentの中

・themesフォルダ　場所はドメイン名フォルダ→public_html→wp-contentの中

（これは少しいじったりもしていたので念のためバックアップしました）

・pluginsフォルダ　場所はドメイン名フォルダ→public_html→wp-contentの中

（プラグインもアップデートしてなかったりすると危険らしく、そのまま復元するのはあまりよくないそうです。ですが僕は何を使っていたか、忘れそうだったので一応バックアップしました。）

エックスサーバーの指示では不正なファイルだけを消して復元するのやめてくださいとのことです。

復元のための対応②　データの削除

僕は独自ドメインを設定していたので、エックスサーバーの「サーバーパネル」→「ドメイン設定」からドメインの削除を行いました。また最初から入っている削除出来ないドメインも初期化。

画像でいう上のドメインは削除ボタンが押せないので初期化。

下の独自ドメインを削除です。

これで全て消えました。

[st-kaiwa1]とほほ。。。。[/st-kaiwa1]

ここまでやったらエックスサーバーにメールか電話しましょう。いただいたメールに連絡先やアドレスは書いてあります。

そうすると削除されていることが確認されると凍結が解除されます。

下記のようなメールが届きます。

お忙しい中ご連絡いただき恐れ入ります。

先ほどサーバーアカウント「アカウント名********」における
WEBアクセス凍結を解除いたしました。

再度ドメイン設定やデータのアップロード等
行っていただければと存じますが、WEB凍結時点でのデータから
【不正ファイルとして検出されたものだけ】を削除して
再度アップロードすることはお避けください。
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
※　1～2ヶ月以上前に取得したようなバックアップデータも
脆弱性を孕んでいる可能性が高いため、利用はお控えください。

不正アクセスが確認された時点のデータを再度アップロードされますと
また同じ問題が発生する可能性が【極めて高い】ものでございます。

改めて【クリーンなデータ】を用いて
WEBサイトの再構築を行ってくださいますようお願いいたします。

※　再アップロードの際はWEBサイト作成時などの、改ざんの疑いのない
クリーンなデータを用いていただくか、各ファイルを１つ１つ
地道に不審な部分がないかをご確認いただいた上で
アップロードを行ってくださいますようお願いいたします。

特に、WordPressのプラグインやテーマに関しては
必ず最新バージョンをダッシュボードから新たにダウンロードしたものを
ご利用いただくようお願いいたします。

※　長らくアップデートされていないものは利用せぬようご注意ください。

万一、また同じ問題が再発した場合などは
より長期のWebアクセスの制限などを実施することとなりますので
十分ご注意くださいますようお願い申し上げます。

ざっくり言うと不正アクセスがあった時点のデータをそのまま使えば、また同じようなことになる可能性が高いよというのと、問題が再発した場合は長期のアクセス制限がかかるかもよとのこと。