レンタルサーバーでワードプレスを簡単にインストールできる一方で、データベースの接続設定など、重要な情報が含まれる「wp-config.php」ファイルも同時に作成されます。このファイルはワードプレスの心臓部であり、攻撃者が狙う主なターゲットの一つです。

https://ドメイン/wp-config.phpでアクセスすることができます。通常phpファイルへのアクセスは、出力が空っぽになります。

普通に運用している際、このwp-config.phpを意識することはありませんが、以下のような事象でwp-config.php編集するタイミングが発生することがあります。

1. ワードプレスの動作がおかしい、デバックモードを有効に。WP_DEBUG
   
2. 自動保存の間隔を長くしたい。AUTOSAVE_INTERVAL
   
3. 投稿のリビジョンを制限したい。WP_POST_REVISIONS
   
4. ワードプレス本体の自動更新をやめたい。AUTOMATIC_UPDATER_DISABLED

この編集操作が、セキュリティに穴を開ける可能性があります。

wp-config.phpにはデータベース情報や重要な設定が含まれているため、もし攻撃者にこのファイルが盗まれると、サイトが完全に乗っ取られるリスクがあります。特にバックアップや一時ファイルが残っている場合、それらが攻撃者に利用されることがあります。

エディタで編集した際、自動で保存されるバックアップファイルが狙われています。

vim、emacs等のエディタは編集する前の状態を保存する仕組みがあります。
また、自分で編集する際、以前のファイルをバックアップして残して置くこともよくあります。

被害に遭わないように、求められる対策は３点です。

1) エディタのバックアップ機能をOFFにする。

エディタ（vimやemacsなど）のバックアップ機能は、編集中のファイルを一時的に保存するためのものですが、これがセキュリティホールになる可能性があります。攻撃者はこれらのバックアップファイルを探し出し、サイトに侵入しようとするため、バックアップ機能は必ずOFFにしておきましょう。

素のviがおすすめです。ただレンタルサーバーの環境によってはvimにリンクされている場合もあるので油断禁物

2) バックアップファイルは必ず「.php」を付けて保存する。

自分でバックアップファイルを作る際はファイル名の最後に.phpをつけます。
直接アクセスされてもphpとして動作するので、空っぽの出力になります。

3) ファイルの変更後、サーバー上に不要なバックアップが残っていないか確認する（ls -ltrコマンドを使用）。

編集後、ls -ltr で更新された日付順に並べてバックアップファイルがないか、目視するのもおすすめです。
tr指定で日付の古いもの順に並べられます。ターミナルに出力された最後の方が新しいファイルです。

攻撃者が探しているバックアップファイル名とは

例えば、以下のようなパスで攻撃者はwp-config.phpのバックアップやコピーを探します。
「/wp-config.php.bak」「/wp-config.php.old」「/wp-config.php_1」など、数多くのバリエーションが確認されています。

とにかく最新の状態にしておく

バックアップファイルを直接取得と並行して、脆弱性をついて取得しようと試みている気配もあります。
以下、ワードプレス本体の他、プラグインやテーマの脆弱性を狙っていることがわかります。

まとめ

wp-config.phpを編集する際は、エディタのバックアップファイルの存在に注意してくださいね。

1. エディタのバックアップ機能をOFFにする。
   
2. バックアップファイルは必ず「.php」を付けて保存する。
   
3. ファイルの変更後、サーバー上に不要なバックアップが残っていないか確認する（ls -ltrコマンドを使用）。

脆弱性をついたアクセスもご紹介しています。こちらは、ワードプレス本体を更新する（自動更新がおすすめ）ことが重要です。


利用者が多そうなメジャーなテーマ、プラグインを選んで、最新版に更新して使い続けることが安心に繋がります。