起きてびっくり，サイト改竄？ at よそ様-続々報。

　徳丸さんが関連記事（新規での投稿時刻は 9:48 のようである）を書いている。表題はそのものずばり。「ロリポップのサイト改ざん事件に学ぶシンボリックリンク攻撃の脅威と対策」。

　この中で，徳丸さんは hissy さんが，個人的な見解の中で， “symlink, mass deface” と書いておられたことの具体的手法だろうと，私が思ったことについて，詳しく書いてくださっている。

　しかし， WordPress を使う場合 mod_rewrite がいるから， FollowSymLinks は必須だ。ということは， 共有サーバの場合，ここを必ず SymLinksIfOwnerMatch にしておけばいいということなのか。うちの場合，ユーザは私ひとりなので，ドキュメントルートの Options はデフォルトのままで， AllowOverride のほうは，デフォルトの None から FileInfo Indexes Limit に変更してある。 .htaccess で使うためだ。

　LINUX を使ったときにシンボリックリンクとは便利なものだと思ったが，元来は UNIX 由来のものだろうと思う。メインフレームしか存在しなかったような時代においては，今のように不特定多数のしかも初心者に近いような人間がネット上で使用するようなことは想定外だったろうから，そのころのゆるさが残ってしまっているのだろう。

　なんちゅうか，自分の住んでいるところの郵便局と，西部劇の新開地の銀行を比べてみているのような気分になってきた。

　自鯖の環境を振り返ってみて，上記の件も大丈夫かなという気になってきたところである。ところで， WordPress をお使いの同好の士は，環境を最新に保つようにがんばりましょう。今回， timthumb.php の脆弱性が利用されたのであれば， timthumb.php を開発している方たちはがっくり来てると思うよ。「俺たちの努力は何だったんだ」って。まっ，何の分野でもよくある話だけどね，ありがたくないことに（爆）。