2026-05-19 (JST) | UTC: 2026-05-18T15:00 ~ 2026-05-19T15:00 | tek-safari.com
93.123.109.15 (NL, AS48090 = NetCup GmbH) から1IPで 736件 のリクエスト。すべて / へのGETで 200 OK を返している (WAFブロックは119件)。
UAは Firefox 47 (2016年リリース) — 完全に古いブラウザ偽装。攻撃ではなくサイト内容のクローリング・スクレイピング・キャッシュ目的か、もしくはフィッシング用のページコピー作成の可能性が高い。
同じIPがWAFにも119件ブロックされていることから、TOPページ収集後に脆弱性スキャンへ移行している兆候も。
93.123.109.15 を即座にBlockWAFブロック700件中 494件 (70.6%) が /wp-login.php。HTTP全体でも494件記録されており、ほぼWAFで防いでいる状況。
攻撃元は 15カ国以上 に分散 (US/NL/FR/DE/VN/LK/IN/SG/CA/TR/ES/FI/LT/AT/MK) で、典型的なBotnet型分散攻撃。POSTが242件あり、明確な認証突破試行。
UA偽装も多彩 — Chrome 133、Firefox 47、`Mozlila` typo (Bot確定) など。
/wp-login.php に Cloudflare Managed Challenge を強制WAF Rule "Version Control - Information Disclosure" が 114件発火。具体的には：
/.env (6件), /api/.env, /app/.env, /backend/.env, /admin/.env, /core/.env, /.env.bak, /.git/config (5件), /.git/HEAD, /wp-config.php.bak
API キー / DB認証情報 / Git履歴の漏洩を狙う典型的パターン。複数のパスを順次試している＝自動化スキャナ。
.env, .git/, .bak, .swp を Nginx/Apache レベルで完全Block.env誤コミット確認 (history全体)/ALFA_DATA/alfacgiapi/perl.alfa と /alfacgiapi/perl.alfa へのアクセスが各6件。ALFA TeaM Shell はトルコ系の攻撃者集団が使用する有名なPHPバックドア。
これは「過去に侵害されて置き残されたWebshellを探す」スキャン (= 既に他の攻撃グループが踏み台化してないかを確認する) であり、サーバが既に侵害されている前提での攻撃。
find / -name "*.alfa" -o -name "alfacgiapi" -o -name "ALFA_DATA" 実行で残置確認/wp-content/uploads/**/*.php 実行禁止/wp-content/themes/seotheme/db.php へのアクセス 14件。これは WordPress用「SEO Theme」プラグインに過去存在した 未認証RCE脆弱性 を狙う典型パス。
すべて 403 で阻止できているが、Mozlila/5.0 (typoでBot確定) UAを使う攻撃者がCA・NL複数IPから試行 (52.138.3.25, 45.92.1.17)。
seotheme プラグインを使用していないか確認、使用中なら最新化または削除http.request.uri.path contains "/themes/seotheme/" → BlockWAF Rule "Wordpress - Broken Access Control, File Inclusion" が 19件、"Information Disclosure - Common Files" が 19件、"Information Disclosure - File Extension" が 20件 発火。
これらは wp-config.php.bak, .env, .swp, .DS_Store, バックアップ系ファイル拡張子を狙うパターン。
HTTP Top IPs に 20.12.236.157 (Azure) が 652件。前日(5/20)も Azure IP複数からの攻撃を観測しており、攻撃者がAzure VMをローテーションして使い続けている状況。
WAFブロック上位の 2602:fb54:1400::1d6 (IPv6) や 45.148.10.21, 45.154.98.229 はBulletproof Hosting系の常連IPレンジ。
/wp-* アクセスを Block (誤検知に注意)NLからのリクエストが 929件 (25.4%) でUSに次ぐ第2位。WAFブロックも177件と多い。前日(5/20)はNLが10位以下だったので、急増している。
NetCup(AS48090) や Bulletproof系プロバイダ(AS49434等)からの攻撃が集中している可能性。
5/20: 11.6% → 5/19: 19.1% と攻撃比率が上昇。WAFブロックも 179 → 700件 (3.9倍)。
200 OKは648件あるが、その大半がボット (DotBot 672, NetCup 736…) なので真の人間トラフィックは数十件以下と推定。
攻撃の多くは AMS (Amsterdam) Edge を経由しており、欧州発信攻撃の集中ターゲットになっている可能性。
既存の wp-login.php Block は full block。だが正規ユーザーも管理画面に入れない。Rate Limit化することで「攻撃は止めて正規利用は許可」。
(http.request.uri.path eq "/wp-login.php" and http.request.method eq "POST")
Requests: 3 / 1 minute per IP Mitigation: Block for 1 hour Action: Managed Challenge first, escalate to Block
Azure (AS8075) / AWS (AS14618, AS16509) / GCP (AS396982) / NetCup (AS48090) / OVH (AS16276) などのVPSから WordPress 管理機能への直接アクセスは 正規利用がほぼゼロ。攻撃用VM対策として最も効果的。
(starts_with(http.request.uri.path, "/wp-")
or http.request.uri.path eq "/xmlrpc.php"
or http.request.uri.path eq "/wp-login.php")
and ip.geoip.asnum in {8075 14618 16509 396982 48090 16276 24940 63949 14061 20473}
Managed Rule "Version Control" は通っているが、/api/.env, /app/.env, /backend/.env など派生パスをまとめて確実に防ぐ。Origin で穴があっても多層防御。
(http.request.uri.path matches "(?i)(^|/)\\.(env|git|svn|hg|DS_Store|aws|ssh|vscode|idea)(/|$|\\.)" or http.request.uri.path matches "(?i)\\.(bak|backup|old|orig|swp|swo|save|tmp|~)$" or http.request.uri.path matches "(?i)/(wp-config|configuration|database|settings)\\.(php|inc|yml|yaml|json)\\.(bak|old|orig|swp|save)$" or http.request.uri.path matches "(?i)/(api|app|backend|admin|core|public|src|dev|prod|staging)/\\.env" or http.request.uri.path matches "(?i)/\\.env(\\.|$)")
ALFA TeaM Webshell など 侵害済みサーバ前提のスキャン はBlock。万一残置されていてもアクセスを遮断。
(http.request.uri.path matches "(?i)(ALFA_DATA|alfacgiapi|\\.alfa|/r57|/c99|/wso|/b374k|/lite_shell|/wp_filemanager|/marijuana|/indoxploit|/anonghost|/priv8)" or http.request.uri.path matches "(?i)\\.(php|phtml|phar|php3|php5|php7|pht)/?$" and http.request.uri.path matches "(?i)/uploads/" or http.request.uri.path matches "(?i)/(shell|backdoor|cmd|exec|spy|adminer|phpmyadmin/scripts/setup\\.php)\\.php$")
スクレイピング攻撃者 (93.123.109.15 Firefox 47) や Mozlila/5.0 typo botを止める。Bot Managementの Bot Score と組み合わせて誤検知低減。
((http.user_agent matches "(?i)(Firefox/4[0-9]\\.|Chrome/[1-7]?[0-9]\\.|MSIE [1-9]\\.|Mozlila)" or http.user_agent eq "" or len(http.user_agent) lt 20) and cf.bot_management.score lt 30 and not cf.bot_management.verified_bot)
XML-RPC は pingback増幅DDoS / system.multicall を悪用したパスワード総当たり で乱用される。Jetpack使用時は Jetpack IP のみ allowlist。
(http.request.uri.path eq "/xmlrpc.php")
(http.request.uri.path eq "/xmlrpc.php"
and not ip.src in {192.0.64.0/18 195.234.108.0/22})
14件攻撃を受けている seotheme/db.php や WP脆弱性データベース上位の常連プラグインを一括Block。
(http.request.uri.path matches "(?i)/wp-content/(themes|plugins)/(seotheme|hellopress|easy-wp-smtp|wp-file-manager|ultimate-member|file-manager-advanced|essential-addons-for-elementor-lite|duplicator|wpdiscuz|elementor-pro)/" and http.request.uri.path matches "(?i)\\.(php|phar|phtml)$")
93.123.109.15 が1日736req/`/` 取得 = 約30req/分。スクレイピング・コンテンツコピーをRate Limitで阻止。
(http.request.uri.path in {"/" "/sitemap.xml" "/robots.txt"}
and http.request.method eq "GET"
and not cf.bot_management.verified_bot
and not cf.client.bot)
Requests: 60 / 1 minute per IP Mitigation: Managed Challenge for 10 minutes
contorller(typo), cpcontacts, autodiscover, webdisk, hostmaster など本番運用していないサブドメインへのアクセスは 100% 偵察。
(http.host in {"contorller.tek-safari.com"
"cpcontacts.tek-safari.com"
"autodiscover.tek-safari.com"
"webdisk.tek-safari.com"
"hostmaster.tek-safari.com"
"blog.blog.tek-safari.com"
"demo.hostmaster.tek-safari.com"})
国別Block は誤検知が大きいので Challenge で確認。攻撃集中している NL/VN/LK/TR + WP管理エリアの組合せに限定。
((starts_with(http.request.uri.path, "/wp-admin")
or starts_with(http.request.uri.path, "/wp-login")
or starts_with(http.request.uri.path, "/wp-includes")
or http.request.uri.path eq "/xmlrpc.php")
and ip.geoip.country in {"NL" "VN" "LK" "TR" "BG" "RU" "IR" "KP" "CN"})
侵入されてもWebshellを実行不能にする防御層。/wp-content/uploads/** 配下の .php 等はBlock。
(http.request.uri.path matches "(?i)/(wp-content/uploads|uploads|files|media|images|cache)/.*\\.(php|phar|phtml|php3|php5|php7|pht|inc|cgi|pl|py|sh|asp|aspx|jsp)$")
Managed Ruleset の "Cloudflare Specials" パッケージで Web Shells / Common Backdoors / CMSの新規CVEを自動カバー。手動メンテ不要。
Security → WAF → Managed rules ✓ Cloudflare Managed Ruleset (Block) ✓ Cloudflare OWASP Core Ruleset (Block; sensitivity=High, score≥40) ✓ Cloudflare Exposed Credentials Check (Block on hit)
DotBot(672), MJ12, SEMRushBot などのアグレッシブ商用クローラーや、UA偽装の攻撃Bot を一網打尽。
Security → Bots → Configure Super Bot Fight Mode Definitely Automated → Block Likely Automated → Managed Challenge Verified Bots → Allow (Google/Bing/Apple のみ) Static Resource Protection → On JS Detections → On
WAFは「攻撃トラフィックを止める」防御。Access は「認可されたユーザー以外はリクエスト到達不可」にする根本対策。管理画面群に最適。
Zero Trust → Access → Applications → Self-hosted
Application Domain: tek-safari.com/wp-admin*
: tek-safari.com/wp-login.php
Policy:
Action: Allow
Include: Emails ending in @yourcompany.com
Require: MFA (TOTP/WebAuthn)
Session Duration: 8h
本番投入前に Log で誤検知有無を確認。1週間Log → 問題なければBlock化、というのが安全な運用。
(同じ expression を使い、Action = Log)