今度はメール踏み台になってたっぽい

久しぶりの更新です。そして謝らなければいけないようです。
どうやら、WPのxmlrpc.phpからボコスカどこぞにメールを送ってた模様・・・

[事の経緯]

  1. 久しぶりにyum -y update しに行くかなーSSLも切れてるし
  2. あれ、重すぎてサーバ入れない
  3. 再起動してもよくならない。。。アクセスログに定点的にアクセス、変なIP、maillogもゴリゴリ書かれてる、まさか!
  4. バックアップの後、OS再インストール→サーバのセットアップ→コピーのリストアそれでも良くならない・・・アクセスログがゴリゴリってまさか!
  5. とりあえずechoしかしないxmlrpc.phpと差し替え
  6. xmlrpc.phpを無効化させるセキュリティプラグインインストールの後xmlrpc.phpを元に戻す
  7. おそらく無事生還

改めて言います、ほんとすいませんでした。
合わせてwpの自動アップデートとプラグイン、テーマのアップデートも自動化させて、postにinvisible reCAPTCHA導入と知ってる限りの放置できる系セキュリティぽんぽん入れたった、これでどうだ。こんちきしょう。

マジな話、ここバージョンの些細な違いでガンガン叩かれたりするので、セキュリティ事情が数年前とは雲泥の差。マジ怖すぎる。

明日以降、ちょっと動いてないっぽいwp-cron.phpの様子を見よう。

0

Google Apps Script 俺用スニペット

GAS(Google Apps Script)はなんでもできるよね!
本音で言えば、PHPが書ければ最高なんだけど。
簡単なことがJSだと手間取るんだよね・・・

ということで、メール一括送信スクリプトを作ったので、
ここ最近で書いた後で使えそうな稚拙なスニペットを覚書。

0

Let’s Encryptを使ってVirtualminでアホほどサクサクSSL導入できる件

SSLも無料で取得できる時代になりました。世の中世知辛いことばかりじゃなかったね。
https://letsencrypt.jp/

OSにcertbotなるクライアントソフトを入れるだけですぐ使えます。
Virtualmin環境な環境であればもっとスイートに使えます。

  1. Virtualminにログイン
  2. webmin -> system -> Software Packages から「Install a New Package」でYUMでcertbotをインストール
    %e3%82%b9%e3%82%af%e3%83%aa%e3%83%bc%e3%83%b3%e3%82%b7%e3%83%a7%e3%83%83%e3%83%88_2016-10-18_15_46_42
  3. virtualmin -> 対象のドメインを選択 -> edit virtual server から「Enabled features」にある「 SSL website enabled?」のチェックつける
    %e3%82%b9%e3%82%af%e3%83%aa%e3%83%bc%e3%83%b3%e3%82%b7%e3%83%a7%e3%83%83%e3%83%88_2016-10-18_16_02_03
  4. virtualmin -> server coniguration -> manage SSL certificate から「Let’s Encrypt」のタグを選択後、試しに自動更新期間を1ヶ月に設定しておく
    %e3%82%b9%e3%82%af%e3%83%aa%e3%83%bc%e3%83%b3%e3%82%b7%e3%83%a7%e3%83%83%e3%83%88_2016-10-18_15_47_41

これでapacheの設定も完了。しかも1ヶ月ごとにSSLが自動で更新されるはず。まぁなんて簡単。

せっかくなので全てのアクセスをSSLにリダイレクトさせるようの.htaccessも置いておきます。

0