先日、WordPressサーバの侵害を調査する機会がありました。Webサーバのアクセスログを眺めてみると、どうやら何らかの手段でWordPressの管理者アカウントを手に入れた攻撃者が、管理ページに堂々とログインして悪意のあるファイルをアップロードしているようでした。
で、ふと、「そういえば、SSLしてない場合WordPressのログイン情報ってどうやって送られるんだろう」と気になりテストしてみたところ、POSTリクエストのボディ部分にログイン情報が平文で記載されていました。
log=[REDACTED]&pwd=[REDACTED]&wp-submit=Log+In&[REDACTED]
フォーム入力でログインするので、当たり前といえば当たり前でした。
以上。
