ロリポップサーバその後。と、データベースアップデート。
被害範囲が大きかった今回の不正アクセス。利用者のうちの超簡単なIDとパスワードにしている誰かから侵入し、WordPressの重要設定ファイルwp-cnfig.phpを読みとり、データベースの情報を入手、同じデータベースを利用しているユーザに芋づる式に侵入、改変という事の様だ。
なのでWordPressを入れ替えてもデータベースをバックアップと差し替えても駄目、って事なわけね。
今後の対策としては兎に角wp-config.phpのパーミッションは400。WordPressのログインIDはデフォルトのAdminなんてのは絶対に駄目。別な管理者IDを作り、長いパスワードを設定した上でAdminは削除。
他に２つのプラグイン導入。
- Acunetix Secure WordPress
- Login LockDown
どんなものか興味を持った方はぜひググって自身で調べて欲しい。調べる事に意義がある。それとデータベースのバックアップは定期的に取る。これで完璧とは言えないがリスクはだいぶ減らせると思う。もっとセキュリティをあげたい場合には普段はWAFを有効にして設定の時にはSSLでの接続、という風に変更するのも良いかも知れない。
さて、今回の事で自身のところも含め色々とやってたんだが、ふと電脳-煩悩のMySQLのバージョンが5.1のままだが、最新のver.5.6が利用可能になっているのに今更ながら気が付いた。しかも最新のデータベースサーバはSSD採用だとぉ？！ 調べてみると電脳-煩悩のは比較的初期のサーバ利用なので、色々と作業ついでにSSD採用のサーバ（とMySQL最新版）に移行しちゃおう、うん。
手順はざっと下記のとおり。
になりました。早速Windows版とMac版を使ってみましたが、セキュリティソフトにありがちな（どれ、とは言いません・・・）、新しくなってクソ重くなったり、逆に使いにくくなったりという事も一切無く、【真当に】進化した様です。