「サーバ証明書の発行を検知、初期状態のWordPressに侵入する手口が横行」記事へのコメント

よくわからん

[Anonymous Coward]

WordPressは初期インストール状態だと脆弱でインストール後に設定を変更する手順が必要ってこと？
だとしたらそこを改善すべきような

Re:

[Anonymous Coward]

WordPress インストール、で検索して最初にヒットしたページからたらい回されて辿り着いた WordPress のインストール [wordpress.org]を流し読みすると、
パスワードの設定の前にブラウザからアクセスしてインストールスクリプトを実行、なる手順が出てくるね…。

初心者でも簡単にセットアップ出来るように作ったあまり、初心者には危険すぎる手順になっちゃったのかな。

1. ドメイン名を準備
2. 外部からアクセス可能な空っぽのWebサーバを立ち上げてlet's encrypt
3. Webサーバに証明書をきっちり設定する
4. Webサーバの外部からのアクセスを禁止に
5. WordPressのスクリプトを展開
6. ローカルから繋げて

Re:

[Anonymous Coward]

サーバー証明書を入手できた時点で、アクセス可能なIPアドレスを制限するとか。
共用サーバーとかVPSとかだとIPアドレス制限ができなかったり知識が必要だったりするけど、
AWSやAzureだったら、あんまり知識無くてもできるし。

Re:よくわからん

[Anonymous Coward]

> サーバー証明書を入手できた時点

がCTでほぼ即座に突き止められてしまうから間に合わないわけで

Re:

[Anonymous Coward]

上の手順では、その時点ではまだ WordPress 入ってないでしょ

Re:

[Anonymous Coward]

というか、 #4251956 の手順が前提なら #4252048 が言ってるのはまんま 手順4. のことでは