他人のホームページにウイルスを仕込める？

質問

こんにちは、よろしくお願いします。

他人のホームページを勝手に改ざんするウイルスがいることは知っているのですが、他人のホームページを改ざんしたり、ウイルスを仕込んだりするのはハッキングとかでもできることなのでしょうか？例えば、AさんがBという団体の悪事を暴くようなホームページを作ったとします。で、そのホームページを快く思わないBは、優秀なハッカーなどを雇い、世間の人がAのホームページを見なくなるように、Aのホームページにウイルスを貼付ける、、、といったことは起こりえるのでしょうか？

つまり私の質問は、何かの悪事を告発するようなホームページを立ち上げる場合、ホームページに細工されないようにするには、ウイルス感染にだけ気をつければ良いのか？ということです。また、「そういうホームページを立ち上げる際は、こんなことに気をつけたほうがいい」、みたいな注意点もありましたら、どなたかご教授いただければ幸いです。

回答No.2

lv4u · ベストアンサー

他人のホームページに普通にアクセスして、ホームページに対してなんらかの操作をして改ざんするのは、難しいですし、いわゆるハッカーさんたちは、そういう手法はとっていません。
一般的には、そのホームページの管理者のＰＣからＩＤとパスワードを盗み出し、ホームページ上のＨＴＭＬファイルをダウンロードして、書き換えたあとに、再アップロードするという手順で書き換える、つまりはウイルスを仕込んでいます。
この攻撃手法は、数ヶ月から数年にわたって、ねらったＩＤ、パスワードが取得できるまで、さまざまなやり方で攻撃が続くことがあります。

また、そのホームページを稼動させているサーバのソフト（ＷｅｂサーバとかワードプレスなどのＣＭＳ等）に脆弱性があれば、そこを攻撃して管理者権限を奪ったりする攻撃手法もあります。

>>ホームページに細工されないようにするには、ウイルス感染にだけ気をつければ良いのか？ということです。

基本はそうですね。自分のＰＣのセキュリティをきちんとすると同時に、

１）ＩＤやパスワードを使いまわしせず、そのサイト管理専用のものを用意し、パスワードも複雑なものにして、定期的に変更する。
２）ホームページを設置するサーバのセキュリティを十分厳重にしておき、毎日、異常なアクセスがなかったか？ログをチェックする。
３）できれば、サーバへのアップロードソフトは、パスワード認証ではなく、公開鍵認証方式を使う設定にする。

ちなみに、ＤＤＯＳ攻撃といって、サーバに多量のリクエストを送りつけて、サーバを溢れさせ、一般ユーザさんが、アクセス不能となるような攻撃手法があります。
これを防ぐには、高性能のサーバと大容量のネットワーク回線の契約が必要になるので、個人ユーザでの対処は、費用的に、ほぼ不可能かと思います。

お礼

なるほど。すごくすごくすごく参考になりました。教えていただいた３つの注意点をしっかり守っていこうと思います。ご丁寧にご回答いただき、どうもありがとうございました。

回答No.6

yukidensi

確かにできます。
私も自分のサイトを持っているのですが、毎日のように改ざんしようとする人が来ているようです。
ちなみにハッカーを雇わなくても、全自動でやってくれるツールもあるそうですし。

ここからはホームページを作るときの注意を書きます。
まずはファイルを書き換えられないように、管理ページのパスワードをできるだけ長くすることですかね。
これはブログを作るときだけでいいですが、何回もログインしようとしてくる人を遮断する物をインストールすることです。
大体はそんなところです

お礼

サイト改ざんを全自動でやってくれるツールなんてあるんですか。便利ですねぇｗ
注意点も教えていただきありがとうございました。管理ページのパスワードを長くして、何回もログインしようとする奴にはビンタですね。了解です。ご回答ありがとうございました。

回答No.5

xmumeix

出来るからダウンロードサイトでウィルスにかかるわけです(保護されてないサイトは特に)
だけどそれは悪いことなのでやらないでください
勿論頼んでクラッカーにやってもらうのもね

お礼

なるほどぉ。やはり、なんでもできてしまうんですね。まぁ、私はやりませんよ。多分ｗ。
ご回答ありがとうございました！

回答No.4

active_defence

こんにちは。

私はクラッカーサイドのことも少し知ってるので参考までにお話します。

>Aのホームページにウイルスを貼付ける、、、といったことは起こりえるのでしょうか？

クラッカーコミュニティーに行きますと、そうしたことを請け負ってくれます。もちろん有償です。

いろんなサービスがありましてね、アンチウイルスでの検出をさせないようにするためのプログラム改変サービスとか、ショッピングサイト専門のクラッカーとかいます。

フィシングなどではサーバーの設置を手配してくれたり、オプション料金を払えばメールの文面も考えたりしてくれますｗ。サポセンもあったりしますｗ。

DDoSに触れられている人もいるようですが、こうした攻撃に使われるボットネットのレンタルもあったりしますｗ。

で、最近ではクラッキングツール関係のビデオチュートリアルを置いてあるところも多くなってます。

ホームページ開設ではアップロードのアカウント管理は当然重要ですし、パーミッションの設定も当然重要です。

ただ、ホームページ改ざんでは利用者が直接タッチできないWebアプリの脆弱性を突かれることもあります。

参考

http://www.ipa.go.jp/security/vuln/press/201002_waf.html

http://www.itmedia.co.jp/enterprise/spv/1303/28/news036.html

ちなみに、笑っちゃうんですが、クラッカーコミュでも最近CloudFlare採用してるところちょくちょく見かけますｗ

お礼

ふむふむ、これまた違った角度からの情報、どうもありがとうございます。クラッカーサイト、コミュニティーというものは、今まで聞いたこともありませんでした。そんなものがあるんですねぇ。恐ろしい。とても勉強になりました。ご回答いただき、本当に感謝です！

回答No.3

deltaufp

ホームページを作るにはFTPを使うと思います。
なので、FTPのIDやパスワードが盗まれれば攻撃者の意のままにサイトを買えられてしまいます。

IDやパスワードは通信の盗聴の他、ソーシャルエンジニアリング等で盗めます。机にパスワードの書いた紙を貼り付けたり、シュレッダーにかけないままゴミ箱に捨てたりすると、盗まれる可能性があります。また、その情報に価値があればシュレッダー後の残骸から修復して盗む者も出てくるでしょう。FTPの通信を暗号化したり、パスワードを頻繁に変えることで防衛できると思います。また、バックアップを取っておいて万が一書き換えられてもすぐに復旧できるようにしておくのも良いと思います。

攻撃者が質問者様のサイトのHTMLファイルをダウンロードし、改変してウイルスを埋め込んだ上、盗み出したIDとパスワードでFTPを使ってアップロード、上書きする。これでもう質問者様のサイトはウイルスサイトになってしまうでしょう。

この他、フォームとデータベースを使うのであれば入力されるデータにエスケープ処理を施し、SQLインジェクションやXSSに備える必用があるのではないでしょうか。サーバ上でフォームから受け取った値でSQL文を組み立てるプログラムの所でもプレースホルダなどを使ってリスクを減少させる必要があると思います。
加えて、個人情報の入力を必要とするページの場合、証明書を取得してSSL暗号化通信に対応させれば、信頼性は上がると思います。やはり、来訪者から見ても個人情報を暗号化されていないページで入力するのは恐ろしいと考えてしまうと思いますので…

お礼

なるほど。前の回答者の方の回答とともに、とても参考になりました。データベースのことなど、教えていただいたこと、全て為になりました。本当にありがとうございました。

回答No.1

enylle

なんでもできますよ。

お礼

そうですか、なんでもできますか。ハッカー達もその力を正義のために使ってほしいものです。ご回答ありがとうございました。