admin-ajax.phpはどのように機能しますか？

Question

admin-ajax.phpはどのように機能しますか？

- 15
- 73056 2012-12-27
外部の開発者に問題があります.

wp-adminサイトへのアクセスを内部アクセスのみに制限したい( VPN ).単に、外部ユーザーによる攻撃を受けないようにするためです.サイトから管理者を列挙することができ、フィッシングされたくない場合があります.

私たちの開発者は、ページが機能するようにサイトが管理ページに外部からアクセスできるようにする必要があるため、それはできないと言っています.具体的には、admin-ajaxページです.

admin-ajax.phpページは何をしますか?

WordPressの管理セクションにあります.エンドユーザーが認証せずにアクセスしていませんか?これを外部ユーザーが利用できるようにすることは安全ではありませんか?

We are having some issues with an external developer.

We want to limit access to the wp-admin site to internal access only (via VPN). Simply so it will not be attacked by external users. We can enumerate the admins from the site and do not want them to be phished.

Our developer is saying we can't do that because the site needs to have the admin page accessible externally so the page will function. specifically the admin-ajax page.

What does the admin-ajax.php page do?

It is located in the admin section of WordPress. Is it accessed unauthenticated by end users? Is it an unsafe practice to have this available to external users?

admin ajax security

- `ajax-admin.php`は..ajaxリクエストを処理します.タイトルと一般的な質問をクリアしてください、http://wordpress.stackexchange.com/faq
  
  `ajax-admin.php` handles.. ajax requests. Please clear your title up and the question in general, http://wordpress.stackexchange.com/faq
  - 0
  - 2012-12-27
  - Wyck

4 回答

投票


                                                    
                                                        
                                                            

                                                                
                                                                    
                                                                        
                                                                            
                                                                            
                                                                                1
                                                                            
                                                                            
                                                                        
                                                                    
                                                                    
                                                                    
                                                                        
                                                                            
                                                                        
                                                                    
                                                                    
                                                                        
                                                                            
                                                                            2014-01-17
                                                                        
                                                                    
                                                                    
                                                                        私の個人的な意見は、これは神のひどい考えだということです.約2か月前、開発ディレクターは、開発チームのアドバイスに反して、これを行うように主張しました.それは本物の悪夢であり、私たちにとって信じられないほどの苦痛です.それはajaxを一斉に殺すだけでなく、私たちにとって非常に多くの管理上の問題を提示します. 

 40人の正規スタッフと4人の開発者が時々vpnを使おうとしていますが、それは途方に暮れます.それに加えて、すべてのユーザーがwp用とvpn用の2セットのパスワードを必要とします. 1つは、他にどのようにセキュリティ監査を行うかということです. 2つは言うまでもなく、1つの安全なパスワードを覚えるのは十分に困難です. 

多くの人がVPNの使用方法を知らないという問題に加えて、多くの場合、それはより多くの問題を引き起こすだけです. 

結局のところ、それはひどい考えであり、WordPressを知らないか理解していない経営陣以上によって提案されることがよくあります.彼らはそれをひどい見方で見ています.それはオープンソースであるため、セキュリティの問題でもあり、簡単に利用できるエクスプロイトなどでいっぱいになっているはずです.

 WordPressは安全であり、VPNの背後にwp-adminを貼り付けることは、チームのすべてのメンバーに悪夢をもたらすことを恐れるだけではありません.

管理タイプがWordPressに関して信頼できないのはなぜですか.主要なサイトがWordPressを使用し、VPNを使用していないことを忘れているようです.たとえば、mashableを見てください.

要約すると:

 AjaxはVPNの背後では機能しません.

 VPNは、上記の理由からひどい考えです

 WordPressは安全であり、WordPressとプラグインを最新の状態に保つと、安全に保たれます.

あなたの開発者に耳を傾け、あなたは彼らの専門知識に対して彼らに支払います.私はあなたに約束することができます、個人にあなたの信頼を置かないことと彼らの知識をチェックしなければならないことのような仕事上の関係を損なうものは何もありません. 

 VPNを使用する場合は、必ず十分なユーザーライセンスを購入してください.
                                                                        My personal opinion is that this is a god awful idea. About two months ago our director of development insisted we do just this, much against the advice of the Dev team. It's a genuine nightmare and an incredible pain for us, not only does it kill ajax all together it presents so many administration issues for us. 

We have 40 regular staff and 4 devs trying to use the vpn at times and it just stutters, along with that all users now require two sets of passwords one for wp and one for vpn and that's not just a shared password it's individual ones, I mean how else would you do a security audit. It's hard enough to remember one secure password, let alone two. 

Add to the issue that a lot of people do not know how to use a vpn and often that just causes more issues. 

Ultimately it's a terrible idea and it's often put forward by management or higher who do not know or understand WordPress.  They see it in a terrible light, that because it's open source it must also be a security issue, filled with easily tapped exploits and so on.... its getting old.

WordPress is secure and sticking wp-admin behind a vpn is not only fear mongering it presents a nightmare for every member of the team

Why is it that management types have no trust when it comes to WordPress, they seem to forget major sites use WordPress and don't use vpns, look at mashable for example.

So to recap:

Ajax won't work behind a vpn.

Vpn is a terrible idea for reasons mentioned above

WordPress is secure and will remain so if you keep it and plugins up to date.

Listen to your Dev, you pay them for their expertise.  I can promise you, that nothing undermines a working relationship like not putting your trust into an individual and having to check up on their knowledge. 

If you do go with vpn,  be sure to buy enough user licenses.

                                                                        
                                                                        
                                                                        
                                                                        
                                                                            
                                                                                
                                                                                    
                                                                                    ソース
                                                                                
                                                                            
                                                                            
                                                                                
                                                                                    
                                                                                    
                                                                                
                                                                            
                                                                            
                                                                                
                                                                                    
                                                                                        
                                                                                    
                                                                                    
                                                                                        
                                                                                    
                                                                                    
                                                                                        
                                                                                    
                                                                                    
                                                                                        
                                                                                    
                                                                                    
                                                                                        
                                                                                    
                                                                                    
                                                                                        
                                                                                    
                                                                                
                                                                            
                                                                            
                                                                        
                                                                    
                                                                    
                                                                
                                                            
                                                            
                                                                
                                                                    
                                                                        
                                                                            
                                                                                
                                                                                    私はまだあなたに反対票を投じるのに十分なポイントを持っていませんが、私がそうしたらそうします.あなたは開発者を信頼することについて怒鳴りますが、1)*それが何をするのか*または2)*なぜwp-adminで大丈夫なのか*どこにも言いません.*私はこの答えに感心していません.
                                                                                    I don't have enough points to downvote you yet, but I would if I did. You go on a rant about trusting your developers, but nowhere do you say 1) *what it does,* or 2) *why it is ok in wp-admin.* I'm not impressed with this answer.
                                                                                    
                                                                                    
                                                                                    
                                                                                
                                                                                
                                                                                    
                                                                                        
                                                                                    
                                                                                    12
                                                                                    2015-04-28
                                                                                    
                                                                                        
                                                                                            
                                                                                            daaxix
                                                                                        
                                                                                    
                                                                                    
                                                                                
                                                                                
                                                                            
                                                                        
                                                                    
                                                                
                                                                    
                                                                        
                                                                            
                                                                                
                                                                                    脆弱なプラグインは、プラグインの開発方法に応じて、admin-ajax.phpで悪用される可能性があります.多くのプラグインは、脆弱性テストのために静的または動的なコード分析を受けません.WordPressコアも常に脆弱性を修正しています.wp-adminの制限、すべてを最新の状態に保つ、インストールするプラグインの制限などの強化を含むWordPressのセキュリティガイドラインに従うと、公開がさらに制限されます.ただし、100％安全というわけではありません.
                                                                                    Vulnerable plugins can be exploited with admin-ajax.php depending on how the plugin is developed. Many plugins do not undergo static or dynamic code analysis for vulnerability testing. WordPress core is also constantly fixing vulnerabilities. If you follow WordPress security guidelines, which include hardening like restricting wp-admin, keeping everything up-to-date, and limiting the plugins you install, your exposure is more limited. You are not, however, 100% secure.
                                                                                    
                                                                                    
                                                                                    
                                                                                
                                                                                
                                                                                    
                                                                                        
                                                                                    
                                                                                    1
                                                                                    2019-08-26
                                                                                    
                                                                                        
                                                                                            
                                                                                            tacotuesday
                                                                                        
                                                                                    
                                                                                    
                                                                                
                                                                                
                                                                            
                                                                        
                                                                    
                                                                
                                                                    
                                                                        
                                                                            
                                                                                
                                                                                    さて、WPにはセキュリティに関して恐ろしい道があります.主に悪いプラグインが原因ですが、コアにもあります.また、その人気により、WWWをスキャンして、できるだけ多くのwpサイトをハッキングするボットがたくさんあります.セキュリティでより良い仕事をする他のオープンソースプロジェクトがあります.私はワードプレスが好きで、セットアップが簡単で、ブログや小さなサイトにはまったく問題ないと思います.しかし、クレジットカードのような賢明なデータを保存するオンラインショップのようなものにそれを使用することは本当に悪い考えです./wp-adminへのアクセスを単にブロックすることは良い考えではないかもしれませんが、セキュリティについては間違いなく心配する必要があります.
                                                                                    Well WP has a horrible track concerning security. Mostly due to bad plugins, but also in the core. And due to its popularity, there are lots of bots that just scan the WWW and hack as many wp sites as they can. There are other open source projects that do a way better job at security. I like wordpress, it's easy to setup and I think its perfectly fine for blogs and small sites. But using it for stuff like online shops that store sensible data like credit cards is really a bad idea. Simply blocking access to /wp-admin might not be a good idea, but you should definitely worry about security.
                                                                                    
                                                                                    
                                                                                    
                                                                                
                                                                                
                                                                                    
                                                                                        
                                                                                    
                                                                                    0
                                                                                    2020-03-26
                                                                                    
                                                                                        
                                                                                            
                                                                                            Gellweiler

s_ha_dum · Answer 1 · 2012-12-27

8

2012-12-27

admin-ajax.phpは WordPress AJAX API の一部です.はい、バックエンドとフロントの両方からのリクエストを処理します.wp-adminにあるという事実を心配しないでください.それも不思議なところだと思いますが、それ自体はセキュリティ上の問題ではありません.これが「管理者を列挙する」とどのように関連しているかはわかりません.

wp管理ページを外部から利用できないように移動することをお勧めしますか?そして、そうすることでajax管理者の何かが混乱するかどうか知っていますか?

would you recommend moving the wp admin page from being externally available? and do you know if doing so would disrupt anything with the ajax admin?
- 0
- 2012-12-27
- nick
これが何を意味するのか100％はわかりませんが、 `wp-admin`内のファイルへのアクセスをVPNのIPから行う必要がある場合は、AJAXを台無しにする必要があります.AJAX呼び出しはユーザーのブラウザーから行われるため、ユーザーのIPから行われます.

I am not 100% sure what this means but if you require that access to files in `wp-admin` be from your VPN's IP, then yes that should mess up AJAX. AJAX calls are from the user's browser so come from the user's IP.
- 0
- 2012-12-27
- s_ha_dum
具体的には、n00bsのセキュリティ上の問題ではない理由を説明できますか?そうでなければ、まともな答え.

Can you explain why, specifically, it is not a security problem for us n00bs? Otherwise, decent answer.
- 1
- 2015-04-28
- daaxix

haz · Answer 2 · 2017-06-15

4

2017-06-15

認証されていないユーザーと信頼されていないユーザーの場合、VPN/ファイアウォール/Apache .htaccessに対して次の2つの特定の例外を作成する必要があります.

example.com/wp-admin/admin-post.php
example.com/wp-admin/admin-ajax.php

これらは、内部WPとさまざまなプラグインの両方で多く使用されている2つの自動マジックエンドポイントです.

admin-post.phpの機能について説明します.

https://www.sitepoint.com/handling-post-requests-the-wordpress-way/

admin-ajax.phpは非常によく似た方法で機能し、役立つ説明はこちらです..

skim- · Answer 3 · 2012-12-27

2

2012-12-27

WPバックエンドへのアクセスを制限する場合(例: wp-admin )、 wp-admin <で .htaccess ルールを使用するだけです./code>ディレクトリ.



一般的な概要については、次の記事を確認してください:パスワード.htaccessを使用してディレクトリを保護する 

特定のケースについては、次のトピックも確認してください:パスワード保護/wp-admin/


                                                                        If you want to limit access to the WP backend (ex: wp-admin), just use a .htaccess rule on the wp-admin directory.

Check out this article for a general overview: Password Protect a Directory Using .htaccess

Also check out this topic for your specific case: Password protecting /wp-admin/

                                                                        
                                                                        
                                                                        
                                                                        
                                                                            
                                                                                
                                                                                    
                                                                                    ソース
                                                                                
                                                                            
                                                                            
                                                                                
                                                                                    
                                                                                    skim-


                                                            
                                                                
                                                                    
                                                                        
                                                                            
                                                                                
                                                                                    または、IPで実行したい場合:http://betterwp.net/wordpress-tips/protect-wordpress-wp-admin-folder/
                                                                                    Or if you'd rather do it by IP : http://betterwp.net/wordpress-tips/protect-wordpress-wp-admin-folder/
                                                                                    
                                                                                    
                                                                                    
                                                                                
                                                                                
                                                                                    
                                                                                        
                                                                                    
                                                                                    1
                                                                                    2012-12-27
                                                                                    
                                                                                        
                                                                                            
                                                                                            skim-

score 1 · Answer 4 · 2014-01-17

1

2014-01-17

私の個人的な意見は、これは神のひどい考えだということです.約2か月前、開発ディレクターは、開発チームのアドバイスに反して、これを行うように主張しました.それは本物の悪夢であり、私たちにとって信じられないほどの苦痛です.それはajaxを一斉に殺すだけでなく、私たちにとって非常に多くの管理上の問題を提示します.

40人の正規スタッフと4人の開発者が時々vpnを使おうとしていますが、それは途方に暮れます.それに加えて、すべてのユーザーがwp用とvpn用の2セットのパスワードを必要とします. 1つは、他にどのようにセキュリティ監査を行うかということです. 2つは言うまでもなく、1つの安全なパスワードを覚えるのは十分に困難です.

多くの人がVPNの使用方法を知らないという問題に加えて、多くの場合、それはより多くの問題を引き起こすだけです.

結局のところ、それはひどい考えであり、WordPressを知らないか理解していない経営陣以上によって提案されることがよくあります.彼らはそれをひどい見方で見ています.それはオープンソースであるため、セキュリティの問題でもあり、簡単に利用できるエクスプロイトなどでいっぱいになっているはずです.

WordPressは安全であり、VPNの背後にwp-adminを貼り付けることは、チームのすべてのメンバーに悪夢をもたらすことを恐れるだけではありません.

管理タイプがWordPressに関して信頼できないのはなぜですか.主要なサイトがWordPressを使用し、VPNを使用していないことを忘れているようです.たとえば、mashableを見てください.

要約すると:

AjaxはVPNの背後では機能しません.

VPNは、上記の理由からひどい考えです

WordPressは安全であり、WordPressとプラグインを最新の状態に保つと、安全に保たれます.

あなたの開発者に耳を傾け、あなたは彼らの専門知識に対して彼らに支払います.私はあなたに約束することができます、個人にあなたの信頼を置かないことと彼らの知識をチェックしなければならないことのような仕事上の関係を損なうものは何もありません.

VPNを使用する場合は、必ず十分なユーザーライセンスを購入してください.

ソース

私はまだあなたに反対票を投じるのに十分なポイントを持っていませんが、私がそうしたらそうします.あなたは開発者を信頼することについて怒鳴りますが、1)*それが何をするのか*または2)*なぜwp-adminで大丈夫なのか*どこにも言いません.*私はこの答えに感心していません.

I don't have enough points to downvote you yet, but I would if I did. You go on a rant about trusting your developers, but nowhere do you say 1) *what it does,* or 2) *why it is ok in wp-admin.* I'm not impressed with this answer.
- 12
- 2015-04-28
- daaxix
脆弱なプラグインは、プラグインの開発方法に応じて、admin-ajax.phpで悪用される可能性があります.多くのプラグインは、脆弱性テストのために静的または動的なコード分析を受けません.WordPressコアも常に脆弱性を修正しています.wp-adminの制限、すべてを最新の状態に保つ、インストールするプラグインの制限などの強化を含むWordPressのセキュリティガイドラインに従うと、公開がさらに制限されます.ただし、100％安全というわけではありません.

Vulnerable plugins can be exploited with admin-ajax.php depending on how the plugin is developed. Many plugins do not undergo static or dynamic code analysis for vulnerability testing. WordPress core is also constantly fixing vulnerabilities. If you follow WordPress security guidelines, which include hardening like restricting wp-admin, keeping everything up-to-date, and limiting the plugins you install, your exposure is more limited. You are not, however, 100% secure.
- 1
- 2019-08-26
- tacotuesday
さて、WPにはセキュリティに関して恐ろしい道があります.主に悪いプラグインが原因ですが、コアにもあります.また、その人気により、WWWをスキャンして、できるだけ多くのwpサイトをハッキングするボットがたくさんあります.セキュリティでより良い仕事をする他のオープンソースプロジェクトがあります.私はワードプレスが好きで、セットアップが簡単で、ブログや小さなサイトにはまったく問題ないと思います.しかし、クレジットカードのような賢明なデータを保存するオンラインショップのようなものにそれを使用することは本当に悪い考えです./wp-adminへのアクセスを単にブロックすることは良い考えではないかもしれませんが、セキュリティについては間違いなく心配する必要があります.

Well WP has a horrible track concerning security. Mostly due to bad plugins, but also in the core. And due to its popularity, there are lots of bots that just scan the WWW and hack as many wp sites as they can. There are other open source projects that do a way better job at security. I like wordpress, it's easy to setup and I think its perfectly fine for blogs and small sites. But using it for stuff like online shops that store sensible data like credit cards is really a bad idea. Simply blocking access to /wp-admin might not be a good idea, but you should definitely worry about security.
- 0
- 2020-03-26
- Gellweiler