バックドアの仕組み
家にたとえると、空き巣が一度入ったときに、こっそり合鍵を作って帰るようなものです。玄関の鍵（パスワード）を変えても、合鍵が残っていれば、攻撃者はいつでも戻ってこられます。
攻撃者が最初の侵入に使った脆弱性は、いずれ修正されるかもしれません。そうなっても侵入を続けられるように、最初の侵入の直後にバックドアを設置するのがよくある手口です。
WordPressサイトでの例
WordPressサイトでは、次のような形で仕掛けられることが多くあります。
- 見覚えのない管理者ユーザー：一覧に表示されないよう細工されていることもあります
- 不正なPHPファイル：本来は画像しか置かれない
wp-content/uploads/や、WordPress本体のファイルに似た名前で置かれます - 既存ファイルへの埋め込み：テーマの
functions.phpやプラグインのファイルに、数行のコードが書き加えられます - 偽のプラグイン：管理画面のプラグイン一覧に表示されないよう隠されていることがあります
外部からファイルの操作やコマンドの実行ができる高機能なものは、特にWebシェルと呼ばれます。
見つけ方・確認方法
- ユーザー > ユーザー一覧 で、作成した覚えのない「管理者」がいないか確認する
wp-content/uploads/の中に.phpファイルがないか確認する- 最近更新した覚えのないファイルの更新日時が、新しくなっていないか確認する
バックドアは目立たないように作られているため、目視だけで全てを見つけるのは困難です。改ざんされたページを直しても症状が再発する場合は、バックドアが残っている可能性が高いと考えてください。
対策
- 侵入を受けたら、WordPress・サーバー（FTP）・データベースのパスワードをすべて変更する
- 本体・テーマ・プラグインのファイルを、公式の配布元から入手した正常なファイルと照合する
- 侵入経路となった脆弱性を特定して塞ぐ
- ファイルの改ざんを検知する仕組みを入れ、新しい不審なファイルにすぐ気づけるようにする
