WordPressへの攻撃対処 ThemeGrill Demo Importer脆弱性

「Wordpressが消えちゃったんですけど!」と猛烈な勢いで連絡をいただいたので、他のことをストップして対処しました。
いろいろと見てみると、データベースが初期化されてました。

MySQLが吹っ飛んだのかな?とも思いましたが、MySQL4.x時代ならともかく、もう10年以上そんな事態は見たことがありません。

こちらのサイトは同一データベースに複数のwordpressを、DBのprefixで分けて設置していましたが、今回初期化されていたのは該当の1サイトだけ。他のサイトは無事でした。そして吹っ飛んだ側のサイトもwp_postが1件だけ存在。インストール時のデフォルトの投稿記事です。どうやら吹っ飛んだ感じではなさそうです。

格闘すること2時間弱、アクセスログに見つけました。

45.129.xxx.xxx - - [18/Feb/2020:HH:MM:SS +0900] "GET /wp-admin/admin-post.php?do_reset_wordpress=1 HTTP/1.1" 302 5 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36" "-"
45.129.xxx.xxx - - [18/Feb/2020:HH:MM:SS +0900] "GET /wp-admin/themes.php?page=demo-importer&browse=all&reset=true; HTTP/1.1" 302 5 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36" "-" 

do_reset_wordpress=1ってなんじゃいな!w
探してみると ThemeGrill Demo Importerプラグインの脆弱性だそうで、1日前に報告されています。ゼロデイ攻撃っぽい。
このプラグインはThemeGrillというテーマシリーズがあって、そちらの必須プラグインみたいです。いろいろテーマを試すには便利な仕組みのようです。

とりあえずこのプラグインは停止、削除。
データベースをバックアップから復旧して、サイトの記事は少し前の状態に戻ってしまいましたが、回復。

ついでにwp-admin以下にアクセス制限をかけます。誰でもGET/POSTできるとか危ない。

余計なテーマやプラグインは削除しておけとは思いますが、使用中のテーマの必須プラグインなんだから、普通は止めちゃいけないと思いますわな…

Critical Bug in WordPress Theme Plugin Opens 200,000 Sites to Hackers

空港でテトリス実況をする人 #TETRIS99

そのまま書いたら意味がわかりませんが、そのまんま、空港でTETRIS99をやります。遊ぶだけならニンテンドースイッチがあればいいので簡単なのですが、実況ですから喋りながらプレイ風景を録画する必要があります。

ノートPC(私のはタブレットだけど)にHDMIキャプチャを持ち歩き、電源さえ取れれば行けます。というのも、ニンテンドースイッチからHDMI出力をするには、HDMIを提供できるUSB-Cハブが必要であり、そのハブはなぜか決まって「任天堂純正のACアダプタ」を必要とするのです。

既にいろいろと実験しましたが、モバイルバッテリーや他のACアダプタでは動きません。USB PD対応とか出力65Wとかいろいろ条件があるのかと思いましたが、 単純に電力なのではなく、おそらく任天堂純正のACアダプタは通信をしているのでしょう。

結局、電源が取れればいいんだろ?ということで羽田空港のパソコンコーナーでチャレンジしたのがコレ。

最後の振り向きからの行動が見モノです。時間には余裕を持ちましょう。

で、電源問題により場所が限られてしまうので困った。もっといろんなところでやってみたい欲求が出てきまして、探したらありましたよ。

さすがサンコーレアモノショップ!このハブはどうやら通信を代行するようですね。電源はPCのUSBポートでもモバイルバッテリーでも行けました。

そんなわけで福岡空港の展望デッキでチャレンジしたのがコレ。

飛行機を見てる間に手元が狂ったりしてね。こういう臨場感は部屋の中ではできません!画面見づらかったけど!

空飛ぶテトリス!IN-FLIGHT TETRISを実況してみた

ANAの国際線フライト中に遊べる機内モニタの「インフライトテトリス」で遊んできました。

昨年末からTETRIS99を毎日やってますが、
Snowland Noshiro TV
その番外編みたいなチャレンジでした。

たぶんANAで一番安い国際線がソウル金浦~羽田線です。
Y→Cにアップグレードして、たまたま隣の席が空いてたのでチャレンジできましたが、満席だったりしたら難しかったかもねぇ。
あとビデオカメラで無理矢理画面を撮ってるので見づらくなっちゃったなー。固定方法を考えないとねぇ。あー再度挑戦しないといかんなー

MINI Phone 2を買った

秋葉原をぷらぷらしてたら、あきばお~店頭でMINI Phone 2なるものを発見。
そういえばどこかのIT系メディアでこんなの扱ってたなぁと箱を見てみると、どうやらBluetoothのヘッドセット(じゃなくてハンドセットか)という扱いらしい。

実は今、通話用に持っているXperia X Compactのマイクが死んでまして、BTヘッドセットがないと通話できない状態だったのです。修理するにも1万円オーバーだろうし、そんなに頻繁に電話しないし、ちょっと使ってみようかと。1,600円だし。

充電はmicro USB。USB Type-Cが良かったなぁと思うけど、まぁまだまだだよね。

SIM1、SIM2の文字が見えます。どうやらシートでパターンを覆っているけど、そこにSIMスロットがつく基板だったのでしょう。

ペアリングして通話してみました。使えます。確かにハンドセットだわ。
まだ便利に使っている実感はありません。なんせ通話しないし電話もかかってこないからなー

満充電から1時間でバッテリー表示が1つ減ってしまいましたが、その後8時間経っても表示はそのままです。1日保つならかなり実用的かもしれない。

■追記
飛行機に乗ってた2時間弱は電源を切っていましたが、26時間経ってまだ表示は変わらず4/5。まともに待ち受けに使えるようです?
いや、電池の残量表示がおかしいだけかもしませんけど。

■追記2
約45時間後、電源が切れました。待ち受けだけならそれぐらい保つということですね。充電はフルになるまで1.5時間ぐらいのようです。

何分なら知らない人のYouTube動画でも見る気になる?

既に知っているチャンネルや配信者だったら長くても見るとは思いますが、ちょっと興味あるんだけどこの人知らないし~、みたいな動画、何分だったら見る気になりますかね?

毎日テトリス99の動画は撮ってるんですが、全部やると20分超えもザラなので、さすがに見る気が起きないよなーと思って、前半をカットしてみましたがそれでも10分になっちゃいました。

実際、自分が他の動画を見るときも、3分、5分、10分、といったあたりは見る見ないの基準になっている気がします。
あと導入が長いやつはダメだな、最初に掴んでないと最後まで見られない。(書いてて自分に刺さる。反省)