不審なファイルが設置(サイト改ざん)「File Manager(6.8以前)」改善方法

「プラグインFile Manager(6.8以前)」の使用から、不審なファイルが設置されてしまいました。
そこで「その経緯」&「改善方法」を、私の実体験から報告します。
同じ経験をしている方の参考になりましたら幸いです。

1:エックスサーバー カスタマーサポートからメールが来た

エックスサーバーから、メールがありました。

内容は↓
「WordPress」のプラグイン「File Manager(6.8以前)」にて
緊急性の高いセキュリティ上の問題(脆弱性)が確認されており
このたび、お客様の上記ドメインにおきましても
不審なファイルが設置されている状況を検知いたしました。

そのため、事後のご案内となり大変恐縮でございますが、
緊急措置として下記対応を実施しております。

下記ディレクトリに設置されておりました不正プログラムファイルについて、
パーミッションを「000」へ変更し、機能を無効化しております。・・・・・以下略

確かに、私はエックスサーバー内のサイトにFile Manager(6.8以前)を使用しておりました。
脆弱性が確認されてから、すぐに6.9にバージョンアップしましたが、時既に遅し。

不審なファイルが設置されてしまいました。
また、File Managerを設置していたサイトのみならず、サーバー内の他のサイトにも不正ファイルを設置される始末となりました。
不正なファイルの総数は161にも及びました。

2:不正ファイルの設置とは、どのような状態なのか

該当するエックスサーバーに設置しているサイトに不審なファイルが、知らない間に増えている。
もしくは、既存ファイル(.phpなど)の内容が書き換えられています。

これらにより、「情報漏洩」「フィッシングサイトの開設」「スパムメールの大量送信」などの危険があり、最悪の場合、サーバー側から「サーバー停止」の措置をとられることもあるようです。

エックスサーバー側からは、不正なファイルを検知し、パーミッションを変更したので、各自で削除&対応してくださいとのこと。
アクセスできないように措置した

ここで問題となるのは、不正ファイルには、WordPressの運営に必要なphpファイルも含まれております。
つまり、正常にログイン&閲覧できなくなります。

なのでただちに、自分で「不正なファイル」を削除or更新しないといけない状態です。

※不正なファイルは、エックスサーバー側から、一覧を掲示していただけました。

それでは、具体的な改善方法を2種類紹介します↓

3-1:FTPから「不審なファイル」を「削除or更新」する方法

まず、FTPソフトを使い、該当するエックスサーバーとつなげます。
そして、提示された不正ファイルの一覧をすべて「削除」します。

ただ、不正ファイルの中には、Wordpressを起動するのに必要なファイルも含まれています。
そこで、WordPressの公式サイトに行き、最新バージョンのWordpressをダウンロードして、不足しているファイルを、再度アップロードする必要があります。
(もちろん、アップロードする場所は、同じ階層にです。)

3-2:サイト内のファイルをすべてクリーンに差し替える方法

「3-1」で紹介した方法ですと、不正ファイルのみを差し替える方法となります。
がしかし、他にも不正ファイルが紛れている可能性もゼロではないので、ドメイン内のWordpressをごっそりクリーンにする方法があります。

それがこちら↓
※ WordPressの記事データはFTPサーバー側ではなく
  『MySQLデータベース』に保存されておりますが
  MySQLデータベースは削除していただく必要はございません。

まずはサーバー上に残っている
WordPressの「wp-config.php」の設定をご確認いただき、
記述された下記内容(データベース関連の情報)をメモなどにお控えください。

—————————————-
/** WordPress のためのデータベース名 */
define(‘DB_NAME’, ‘************’);

/** MySQL データベースのユーザー名 */
define(‘DB_USER’, ‘************’);

/** MySQL データベースのパスワード */
define(‘DB_PASSWORD’, ‘************’);

/** MySQL のホスト名 */
define(‘DB_HOST’, ‘************’);
—————————————-

上記の情報をお控えいただきましてから、
サーバー上のWordPressの構成ファイルを削除していただければと存じます。

※WordPressへアップロードされた画像は「wp-content/uploads/」配下へ
 保存されておりますので、必要に応じてバックアップをお取りください。

 再利用時は不審なファイル等が含まれていないかを十分にご確認の上、
 ご利用いただければと存じます。

その後、WordPressの公式サイト(https://ja.wordpress.org/)から
最新のインストールデータをダウンロードし、サーバー上にアップロードしてください。

併せてデータベース関連の設定については『wp-config.php』の内容を控えた内容で
置き換えていただければ、記事や固定ページ・設定について復旧が可能でございます。

不正アクセスの再発を防ぐため、利用されていたプラグインやテーマについては
改めてダッシュボードから導入をやり直していただくのがよろしいかと存じます。

※ プラグインやテーマに脆弱性が含まれている可能性もございます。

※ テーマ『賢威』やプラグイン『Welcart』のように
  ダッシュボードからアップデートすることができないものについても
  各テーマ・プラグインの配布サイトから最新版をダウンロードして
  再度ご利用いただくことをお勧めいたします。

4:サイトを確認(エラー時の改善方法)


不正ファイルを「削除or更新」したあとに、サイトにログインしてみましょう。
ログインしようとして、なにかエラーが出ている場合があります。

そのエラーの文字列から、エラーの場所を示してくれています。

メモ
プラグインが問題ならば、該当プラグインを、FTPからフォルダごと削除すれば、解決することが多いです。

メモ
phpファイルが問題ならば、エラーページから「何行目」に問題があるのか特定できるので、解決できる人は試みてください。

※テキストエディタで開けば、行目は表示されます。
※他のphpファイルを呼び込めないために、エラーになっているケースもあります。

解決できないようならば「3-2」のまるごとクリーンを行えば、解決できる可能性が高いです。
(すべて自己責任でお願いいたします。)

エラーが解決できれば、以前のように「ログイン」&「閲覧」が可能になります。

5:今後、「不正アクセス」を防止するために気をつけること

注意
・こまめにWordPressのダッシュボードへログインしていただき、
 WordPress本体、テーマ、プラグインにアップデートがあれば
 速やかに最新バージョンへのアップデートを行う。

・半年以上アップデートされていないような
 テーマやプラグインはダッシュボードから「削除」する。

・各種パスワードは定期的に変更しつつ、
 推測されないようにランダムな文字列にて設定する。

以上となります。
参考になりましたら幸いです。
なお、サイトに不具合が起こりましても、当方では一切の責任を負いません。
自己責任にてよろしくお願いいたします。