WP Security Scan - WordPress に脆弱性がないかスキャンする

WP Security Scan は WordPress のプラグインで、WordPress の脆弱性をスキャンして、いくつか報告してくれます。自分でサーバーを立てている場合は、サイトを公開する前にファイルのパーミッションを設定する必要があることをご存じだと思います。たとえば 777.655 のような数値です。WP Security Scan の機能は、実際にはファイルのパーミッションが正しく設定されているかをチェックすることです。さらに、データベースの接頭辞の確認や変更もできるので、サイト構築の初心者にとても向いています。

WP Security Scan プラグイン情報：

公式サイト： http://semperfiwebdesign.com/
現在のバージョン： 2.7.1.1
対応する WordPress： 2.3~2.8.4
ダウンロード先: http://downloads.wordpress.org/plugin/wp-security-scan.zip

WP Security Scan の機能：

ファイルのパーミッションを確認
WP データベースの接頭辞を変更
WordPress のパスワードを変更
WordPress のバージョン番号を非表示にする

WP Security Scan のインストール手順

1.WordPress の管理画面に入り、【プラグイン】→【新規追加】の順にクリックして、検索欄に「WP Security Scan」と入力します。

2.WordPress が検索した類似プラグインの一覧が表示されます。一番上のプラグインの「インストール」をクリックしてください。すると WP Security Scan の情報を表示する画面が開きます。横に【今すぐインストール】と書かれたボタンがあるはずなので、それを押せば OK です。

3.最後に、WordPress からサーバーの ID とパスワードを求められます。これはレンタルサーバーのアカウント情報です。入力して「開始」を押すと、WordPress のインストールが始まります。

WP Security Scan の使い方：

. 一. WP Security Scan で基本情報を確認する WP Security Scan をインストールしたら、WordPress の管理画面を開き、ページを一番下までスクロールします。サイドバーに「Security」という項目が表示されるので、それをクリックすると、サーバーの基本情報が表示されます。英語表示なので、以下に中国語訳を付けておきます。

P.S. WP Security Scan は、設定されていない部分（つまり脆弱性）を赤で表示し、安全な部分は緑で表示します。

スキャン結果では、WP Security Scan が現在のバージョン番号、データベースの接頭辞を変更したかどうか、WordPress のバージョン番号を隠しているかどうか、初期設定の admin アカウントを変更したかどうかなどの情報を表示します。内容が理解できない場合は、Google 翻訳にかけてみてください。表示される情報は人によって異なるので、私が直接翻訳してあげることはできません。 二. データベースの接頭辞を変更する では、なぜデータベースの接頭辞を変更する必要があるのでしょうか。WordPress のインストール時には、最初からデータベースの接頭辞が wp_ に自動設定されます。接頭辞を考える手間を省ける点では確かに便利です（実はそれほど手間でもないのですが @@）。しかし、それは攻撃者にとっても好都合になってしまいます。たとえば有名な Zero-day は、データベースの接頭辞を利用してサイトを攻撃するものでした。そのため、安全のためにデータベースの接頭辞を変更できる機能が用意されているのです。

1.ブログの管理画面に入り、【Security】→【Database】の順にクリックします。次に「Change the current」の欄に、希望するデータベースの接頭辞を入力してください。英字である必要があり、末尾には必ずアンダースコア（ _ ）を付けてください。

この手順だけで変更は完了です。ただし、「Start Renaming」を押したあとに下の画像のような文字が表示された場合は、手動で変更するしかありません。

三. 詳細なスキャン結果を確認する ここでは、WP Security Scan で最も重要な機能、つまりファイルのパーミッションが正しく設定されているかをスキャンする方法を説明します。

1.管理画面に入り、【Security】→【Scanner】の順にクリックします。

2.次に、修正が必要なファイルを表示する表が出てきます。緑色は修正済み、赤色は未修正を表します。また、この表の項目の翻訳は以下のとおりです：

Name: ファイル名
File/Dir: ファイルの位置（.. はルートディレクトリを表す）
Needed Chmod：必要なファイルのパーミッション。つまり、パーミッションを変更するときに入力する数字です
Current Chmod：そのファイルの現在のパーミッション

四. 初期設定の admin アカウントを変更する

WordPress のオンラインインストーラーでは、初期の管理者アカウントは admin になっています。これは実は大きな脆弱性です。アカウント名が知られてしまうのと同じだからです。攻撃者はブルートフォース攻撃でパスワードを割り出せてしまいます。そのため、初期設定のアカウントは変更することをおすすめします。アカウント名の変更方法は次のとおりです：

1.サーバーのデータベースに入ります。

2.wp-users の横にある「ブラウズ」をクリックします。

3.wp-users テーブルに入ります。ここには現在ブログに登録されているアカウントが表示されます。admin という名前のアカウントの横にある鉛筆のアイコンをクリックします。

4.user-login の項目を希望するアカウント名に書き換えて、「実行」を押せば変更完了です。