WordPressサイトの点検を続けて何件か回ったところ、4件連続で同じものが見つかりました。公開フォルダに置き忘れられたバックアップです。
何が問題なのか
バックアップの圧縮ファイルが、誰でもアクセスできる場所に残っていました。URLを直接指定すれば、そのまま手元に落とせる状態です。
中身はサイトの全ファイルと、多くの場合データベースまで含まれています。データベースにはユーザー情報も、管理者のパスワードの手がかりも入っています。つまり、これ1つで中身をまるごと持っていかれます。
なぜ起きるのか
悪意があって置かれたものではありません。移行や更新のときに作ったバックアップを、作業が終わったあと消し忘れているだけです。
作業中は必要なので置きます。終わったら要らなくなります。その「終わったら」に消す手順が入っていないと、そのまま残ります。実際、4件すべてが別の制作者・別のサーバーで、同じ形でした。よくある落とし方だということです。
どう確かめるか
自分のサイトのURLに続けて、思いつくファイル名を入れてみてください。よくあるのは次のような名前です。
- backup.zip
- wordpress.zip
- サイト名.zip
- 日付が入ったファイル名
ファイルの保存が始まったら、それは誰でも落とせる状態です。すぐに消してください。
消すときの注意
消す前に、それが本当に不要なバックアップかを確かめてください。稼働中の仕組みが参照しているファイルだと、消すとサイトが止まります。
迷うなら、いったん公開されない場所へ移すのが安全です。移したあとURLを開いて、見つからない表示になることを確認してください。
まとめ
バックアップを取ることは正しい作業です。問題は、置いた場所と、消す手順が決まっていないことです。
作るときに「いつ消すか」を一緒に決めておけば、それだけで防げます。
