何が悪いとハッカーにwebページを書き換えられる

質問

仕事で会社のwebページを管理しております。OSはlinux(centOS 5.5)で、webサーバーは apache(httpd 2.2.17) を使っております。
よくニュースでハッカーにwebページを書き換えられた、という話を聞きますが、サーバーのパスワード(自分、root)をしっかり管理し、apache も常に最新版に保っていますが、それでもハッカーに侵入される可能性はありますか？ 侵入されるとすれば、どこから侵入されるのでしょうか？

回答No.3

John_Papa · ベストアンサー

たまにしか見ませんので遅い回答です。
さすが、「[技術者向] コンピューター 」ならではの回答ですね。
centOS 5.5の宅サーバーがYum自動でMySQL5.5.7にアップデートしたためにMysqlが起動できなくなりバックアップから5.5.6に戻したりしてました。原因が解るまでMySQLの自動アップデートは除外しました。

前置きはこれくらいにして、
サーバーそのもののセキュリティも大切ですが、最近（と言っても特に昨年以降です）もっぱらサーバーを管理するクライアントＰＣが狙われています。
ＸＰ以降標準装備のリモートデスクトップを利用するためにTCP3389(Default値)のターミナルサービスが開始されていますし、エクスプロイト(脆弱性攻撃)を利用してProfessionalでは標準装備のTELENETサーバーをダウンロードさせレジスト登録してTCP23サービスをHomeエディションでも開始させておいたりもされるようです。これらは純正サービスなのでセキュリティソフトに引っかかりません。後はどうやってこのポートへアクセスするルートを作るかですね。
ただ、日本においては（これ以前からWEB広告を利用した一回1～2分間の瞬間攻撃は行われていました）
http://gigazine.net/index.php?/news/comments/20100927_security_tool/
を最後になぜか攻撃対象から外されています。この日は尖閣諸島事件の船長釈放前日にもあたります。（関係ない？）
http://journal.mycom.co.jp/articles/2010/11/15/jpertcc/

昨年5月のGENOウイルスの名前で同人とかオタクのサイトが改ざんされるイメージが大きいですが、実際はホームページデザイン会社とかWEBサーバー管理会社がお得意さんのようです。一度に多数のサイトのID・パスワードが入手でき、外部委託の予算がつく官公庁や企業（昨年の4月頃は特に薬品・医療関係が目立った）という訪問者に警戒されないサイトが被害に会ってました。改ざん犯は様々いるでしょうが息の長い改ざん犯は確実に改ざん先を選択していると思われます。FireFoxの未解決脆弱性をターゲットにしたノーベル平和賞ページ改ざんなどのようにＴＰＯを考えています。
FTPユーザーでは権限の無いhttpd.confが改ざん(サイト上のHTMLファイルを削除するとウイルス配布サイトに404リダイレクト)されたりしました。当時は、脆弱性対策のためのアップデートより安定性が重視されていました。(前置きのように私も痛い目に遭いました。)
GENOウイルスのように、ID・パスワード漏洩即改ざんというケースもありますが、それ以前から行われていたのは、情報漏れしてＰＣがリモートコントロール下におかれて事件発生まで数ヶ月という長いスパンだったようで、これは今日も続いています。直接の攻撃ではなく補助と思われる、見えないから気付かれないvisibility:hidden;やdisplay:none;属性のタグを挿入されマルウェア配布の改ざんページが検索エンジンの上位にリストされる(現在はペナルティになるらしい)ように仕込まれたりしてました。
また今日では、脆弱性がMicrosoftやAdobeより犯人側が先に発見し利用するようになり脆弱性パッチが後手に回るようになりました。本日からAdobeReaderのパッチが配布されますが、IE8/7/6の脆弱性は11月のアップデートでもまだ未解決のままです。
http://internet.watch.impress.co.jp/docs/news/20101029_403477.html
http://cloud.watch.impress.co.jp/docs/news/20101104_404493.html

WEB管理するPCでネットサーフィンしないこともさることながら、SCP使えることですしTCP3389やTCP23をブロックしておくことも必要ではないでしょうか。

お礼

お礼がたいへん遅れて申し訳ありません。
なるほど、セキュリティーホールの修正が行われるよりも先にハッカーに攻撃されるのではしかたがありませんね。

その種の物は今でもあるのでしょうか？ あると分かる前に攻撃されるから恐ろしいのかな？

回答No.2

nnori7142

お尋ねの件ですが、不正アクセス及びセキュリティホール対策が必須となる条件ですが、Webデータベース改変ですが、まず回線に対しUTM等セキュリティゲートウェイ等設置し、不正アクセス対策及びSynflood攻撃やUDP Flood、Connection Flood等の攻撃防御（QOSやVLANを利用した帯域制限もありです）が中心となります。
　その他にルーターでのIPパケットフィルタ及びポート破棄・透過設定による制御と、OS自体のセキュリティホール対策が必須となります。UnixOSの場合更にiptables記述による制御と、定期型更新が必要ですが、UnixOSの方のウイルス対策ソフトの適用が中心となります。
　ネットワーク環境が解りませんので何とも言えませんが、PC台数やサーバ台数、利用回線数に応じた業務用ルーターでの制御及び上記UTM機器での制御がお勧めです。

回答No.1

Wr5

>侵入されるとすれば、どこから侵入されるのでしょうか？

各種セキュリティホール…ですかね。

会社のWebページならば、外部にFTPを開ける必要はないのではないですか？
rootでFTP許可…とかいうのは論外ですが。
自分のアカウント(Webページ更新用？)でも社外からFTPする必要がありますか？
FTPはパケット盗聴していればアカウント名とパスワードはあっさり取得できます。
# wiresharkでキャプチャしながらFTPログインしてみれば判りますが。
Webページの編集と更新は社内からしか行わない。
というポリシーにすれば、FTPのポートを外部に開ける必要はなくなります。

それでも外部から…というのであれば、FTP over SSLにするかSFTPにするべきでしょう。
# レンタルサーバとかデータセンターにサーバがある。とかいう場合もこちらでしょうかの。
SFTPではコード変換とかされないらしいので、その辺りは注意する必要があるでしょう。
SFTPやる為にSSHを使用する場合でも、標準ポート＆パスワード認証は避けるべきです。
# 試しに標準ポートにしたら…3日間で14000近くのアタックが。(アカウント約1700種、攻撃元IP16箇所)
# ログ見たら1時間ちょいも繰り返しrootでパスワード認証試行しているモノも。恐るべし中華パワー。
## ちなみに、公開鍵認証&認証ユーザー限定&非標準ポートで普段は運用。

Windowsでウィルス感染してFTPのアカウントとパスワードが不正使用されたあげく、自分のWebページにウィルスしこまれた。
なんてのもありましたよね…。

お礼

FTPで暗号化されていないパスワードとか、Windowsでウイルスに感染して、なんて論外だと思います。
ファイルの転送は普通はSCPだと思います。

セキュリティホールは常に最新版を使い続けることによって、なんとかなると思うのですが、それでもニュースなどを見ていると、webページに五紅星旗を出されたとかの記事を見て不思議に思って、この質問をしています。