WordPressサイト移行に便利なDB置換ツールを使う際の注意点

2019.02.22 2023.03.31 EGセキュアソリューションズ株式会社

WordPressサイトの引っ越しや、開発環境から本番環境への移行等によりドメイン名やディレクトリ構造を変更する必要がある場合、データベース内のドメインやURLをSQLで直接書き換えるのではなく、DB置換ツール（Search Replace DB）が広く利用されているようです。

Search Replace DBはとても便利なツールですが、データベースのユーザ名/パスワードを
入力することなくデータベースを書き換えることができるため、利用する際には、セキュリティを十分考慮してください。

利用の仕方によっては、サイト上のコンテンツが改ざんされるだけでなく、以下のような被害を受ける危険性があり、現在、放置されたSearch Replace DBを利用した攻撃が観測されています。

想定される被害の例

想定される被害の例は以下のとおりです。

以下のチェックポイントにチェックがつく場合、至急いずれかの対策を実施いただくことを推奨します。

Search Replace DBのサイトには、インストール時の注意事項の記載があります。このようなツールやスクリプトを利用する際は、注意事項を正しく理解してから利用することが大切です。また、利用完了後はただちに削除し、利用中も外部からアクセスできないように、アクセス制御することが鉄則です。

【参考】
WordPressのプラグインDuplicator 1.2.40以前にリモートコード実行の脆弱性（徳丸浩の日記）
https://blog.tokumaru.org/2018/09/wordpress-duplicator-plugin-vulnerabilty.html