ウウウッ，こんなに続けるなら，初めから番号にしときゃよかったと，悔やむ表題。続々々報って，踊り字が何個になるんだよぉー。
あれから， Symlink Attacks について調べてみた。つまり，ロリさんとこのクラックに使われたかもしれないって方法だよね。まぁ，いろいろ見つかる時代だね。いいというか，悪いというか，なんともはや表現に困る。
ところで，
> LINUX を使ったときにシンボリックリンクとは便利なものだと思ったが，元来は UNIX 由来のものだろうと思う。
と書いたように，やはりシンボリックリンクというのは UNIX 由来のものだ。ということで， Symlink Attacks そのものも，ものすごく昔からあるようだ。 Symlink Attacks を google.co.jp で引用符付きで検索してみたら， 1997 年まではヒットした。引用符なしで内容的なものを調べてみるともっと昔からある。要するに，きちんと設定しないと狙われやすいところなわけだ。
Apache の場合，ドキュメントルートの Options にはデフォルトで FollowSymLinks が入っているから，私のような素人の自鯖運営者でなければ，共有サーバの場合はこうしなきゃいけないよというのをちゃんと知っているだろうし，確立されていると思う。しかし，今回， “R.I.P lolipop” と名指しで攻撃されたということは，ロリさんところがそうなってなかったということなのだろう。大穴があいていたもので，個別の穴狙いでチョコチョコ出入りしていたクラッカーが，図に乗っちゃったということになるのか。
TODOS でりりさんが「そういうプログラムが最期までできなかった」みたいなことを，相当，昔に書いていたから，そういう面で狙われやすい属性ができてしまっていたのかもしれないとも思う。
シンボリックリンクについて， Windows の「ショートカット」のようなもんだという説明を，昔，されたことがあるが， LINUX を齧りだして使ってみた感じだとかなり違う。むしろ， Apache の「エイリアス」のほうが近い気がする。シンボリックリンクというのは，参照先のものを実体として使える。これは， Windows の「ショートカット」には無理だ。そのうえ，今回知ったわけだが，つけ方によっては，ファイルの性質さえ変えられるわけだ。バイナリをテキストとして参照するなんてのは論外だろうが， php を txt として見ることはできるわけだからね。
まぁ，一般的には， WordPress 使いは，最新の環境を素早く安全に提供してくれるホスティングサービスを選ぶことを，念頭に置いておけばいいと思うよ。私の場合は，他人には提供してはいないが，自宅にサーバがある環境だから，一般的な場合より，いろいろ気にかけているだけの話だ。
しかしねぇ，「最新の環境を素早く安全に提供してくれるホスティングサービスを選ぶことを，念頭に置いておけばいい」といっても，これが結構難しいのは確かだし，「安価」でというのが入ってくると，一層大変だよね。
どの辺まで，自分で管理するのかは難しいところだけど，せめてすごく簡単なパスワードとか，更新されていない古いバージョンを，パッチあてなしで使うことは，やめようよ。そして，自分が新しいバージョンで行きたいと思っても，サーバのソフトを刷新してくれないホスティング会社を使っている場合は，乗り換えを考えたほうがいい。趣味で，乗っ取られても実害のないサイトなら，無理をしなくてもいいけど，小さくても，営業がらみだと，怪我の小さいうちに考えることをお勧めします。これ，ホント!!
