小粋空間  -  a cheap joke and a play on words site

サイトの不具合について

2024年5月22日からページにアクセスすると、他のページに誘導される事象が発生しました。

切り分けのため、2024年5月23日の19時頃にサイトのすべての情報を削除しましたが事象が改善せず、24日にレンタルサーバ会社に問い合わせ、原因が判明したのがその日の昼頃。

24日の午後から手作業でデータを少しずつ復元させ、現在はほぼ通常運用に戻っています。

備忘録で状況を残しておきます。

１．事象の詳細

最初に気づいたのは、トップページ（index.php）の内容が書き換えられる事象でした。

その後、.htaccessが自動生成され、いくつかのページがトップページに誘導される内容が記載されていました。

そこからさらに（トップページに埋め込まれた、暗号化されたスクリプトで）別のページにリダイレクトされていました。

それらのファイルを削除したり、再構築で上書きしても、すぐに元の内容に書き換えられてしまいます。

topコマンドやpsコマンドでプロセスを確認しても怪しいプロセスはありません。

www配下のすべてのページをバックアップ後、削除しましたが、index.phpや.htaccessが自動生成される事象が解消ぜず、rootユーザーで実行されていると推測し、レンタルサーバ会社のサポートにチャットで問い合わせ。

借りているレンタルサーバのプランには、rootに昇格する権限はありませんでした。

上記の状況を伝えたところ、rootで不審なプロセスが動作していたようで、プロセスを削除して頂き、ようやく事象が解消しました。

その後、MTを新規インストールしてブログの再構築を実施し、画像等のアセットはバックアップデータから丸ごと復元せず、ひとつずつ確認しながら戻しています。

２．原因と対処

おそらく、契約しているアカウントのログインパスワードを破られた後、rootのパスワードも破られて該当のプロセスが仕掛けられたものと思われます。

サポートから「現在動作プロセスが残っております」と言われたのですが、こちらで確認できる範囲のプロセスに該当するものがないことを伝えたところ、サポート側でプロセスを削除して頂けました。

３．今後の対応

サーバログインパスワードはかなり強固なものを設定していましたが、今後は定期的に変更したいと思います。