wp-touchというWordPressプラグインをご存知でしょうか？

Wordpressブログをスマホに対応させるプラグインのことです。

昨今はcssメディアクエリやブレークポイントや言語によりますが分岐をかけて表示を切り分けている実装がほとんどだと思いますが、昔のサイトだと稀に使われていたりします。

私が勤務している会社のサイトも2011~2014 年あたりに作られた古のサイトでは導入されていましたが、PCとスマホをプラグインから切り替えることができるのか〜くらいにしか認識しておらず、ここ最近で恐ろしさについて学びました。

あるときこんなメールが…

お世話になっております。
外部の方から、下記転載のご連絡と弊社への対応依頼を頂戴しております。
お手数ではございますが、お客様にて対応をお願い申し上げます。ご対応いただけない場合、対象のドメイン、サーバーを凍結させていただくことがございます。 ※緊急性があると判断した場合は、既に凍結した状態でのご連絡となります。
本件に関しご確認の上、〇月〇日までにこちらのお問合せフォームより必ずご返信ください。ご回答いただけない場合、対象ドメイン/サーバー、アカウント凍結を実施する場合がございます。ご理解とご協力のほど、よろしくお願いいたします。
↓以下、内容の抜粋です。
こんにちは貴社の管理するネットワーク上にフィッシング詐欺のサイトがあります。
hxxp://[ドメイン]/funky/?wptouch_switch=desktop&redirect=hxxps://[ドメイン]/wp-includes/js/tinymce/utils/logs/doc.html#chaylee.richards@〇〇.com [ipアドレス]
このサイトは単なるオープンリダイレクトであると理解していますが、現在不正なコンテンツにリダイレクトするため、攻撃に直接関与となります。
今回の攻撃は弊社のお客様〇〇をターゲットにしております。
該当のウェブサイトはwebsite URL hxxps://〇〇
不正コンテンツとそれに関連するほかのコンテンツを至急に削除することは可能でしょうか？今後弊社のお客様と法律執行機関の調査のため、発見された不正なコンテンツの保存にご協力いただきますようお願いいたします。

フィッシングサイトの踏み台にされていることに気がつきました….

URLを見てみると

hxxp://[ドメイン]/funky/?wptouch_switch=desktop&redirect=hxxps://[ドメイン]/wp-includes/js/tinymce/utils/logs/doc.html#chaylee.richards@〇〇.com [ipアドレス]

wp-touchからリダイレクトされている…?

知らないで使っていると意図も簡単に踏み台サーバーに…

リモートホストにインストールされている WordPress 用 WPtouch プラグインのバージョンは、URL リダイレクションを生成するために「wptouch.php」スクリプトで使用する前に、「wptouch_view」が「normal」に設定されている場合、「wptouch_redirect」パラメーターへの入力を適切にサニタイズできません。

WordPress 用 WPtouch プラグインの「wptouch_redirect」パラメーターの URL リダイレクション

Wordfence WPtouch < 1.9.30 - Open Redirect

ということはこのリンクを自分のサイトやリンクテキストをPOSTして表示さえできてしまえば、そこから悪意のあるサイトに誘導できてしまうということ！

認証を突破するなど全く必要なくできてしまうので意図も簡単に踏み台サーバーにされてしまいます。

対策

2011年 Version1.9.30でwptouch_redirectパラメーターがサニタイズされるようになったので現在は、問題ないと思います。

ただ古のサイトを運用しているなら対策は必要です。

バージョンアップが手っ取り早いですが、合わせてhtaccessを編集することでセキュアになるかと思います。

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{QUERY_STRING} wptouch_switch=desktop [NC]
RewriteCond %{QUERY_STRING} redirect= [NC]
RewriteRule ^ - [F,L]
</IfModule>

wptouch_switch=desktop と redirect の組み合わせは、WPtouchプラグインのリダイレクト機能を悪用して、ユーザーを外部の悪意あるサイトに誘導する攻撃（フィッシングやマルウェア配布）に使われることがあるのでこれらのリクエストを事前にブロックしています。

他にもCSPでヘッダー情報にリダイレクト先の制限を追加するなどあるかもしれません。

何はともあれデフォルトで使用するのは本当に危険ということを学びました。。

タグ絞り込み

【失敗談】PCとスマホで表示を切り替えるWordPressのプラグインwp-touchの危険性