标签 apache 下的文章

apache,nginx,php隐藏版本号

当黑客入侵一台服务器时,首先会”踩点”, 这里的”踩点”,指的是了解服务器中运行的一些服务的详细情况,比如说:版本号,当黑客知道相应服务的版本号后,就可以寻找该服务相应版本的一些漏洞来入侵,攻击,所以我们需要隐藏这些版本号来避免一些不必要的问题

我们来测试一下

insoz:~ insoz$ curl -I http://127.0.0.1/phpinfo.php
HTTP/1.1 200 OK
Server: nginx/1.5.0
Date: Thu, 18 Jun 2015 02:39:32 GMT
Content-Type: text/html
Connection: keep-alive
Vary: Accept-Encoding
X-Powered-By: PHP/5.3.1

可以看到我们的服务器nginx和php版本都暴露了. 下面我们来看隐藏的方法

首先来看nginx中隐藏版本号的方法:
在nginx配置文件nginx.conf中,加入以下代码

server_tokens off;

apache中隐藏版本号的方法:
在apache配置文件httpd.conf中,加入以下代码

ServerTokens Prod
ServerSignature Off

再来看php中隐藏版本号的方法:
在php配置文件php.ini中,加入以下代码

expose_php = Off

好了,修改完毕重启服务,我们再来测试一下:

insoz:~ insoz$ curl -I http://127.0.0.1//phpinfo.php
HTTP/1.1 200 OK
Server: nginx
Date: Thu, 18 Jun 2015 02:41:47 GMT
Content-Type: text/html
Connection: keep-alive
Vary: Accept-Encoding

[原]Apache二级域名泛解析到目录实现个性化域名

虚拟主机配置文件

ServerAdmin nian0408@foxmail.com
DocumentRoot /data/wwwroot/insoz.com
ServerName insoz.com
ErrorLog logs/error.log
CustomLog logs/access.log common

rewirte重写规则

在Apache中,如果启用了

NameVirtualHost

,在没有匹配到的解析的情况下,会默认到第一组VirtualHost中,所以我们的动态解析自然是放到第一组VirtualHost,我是将它写在了extra/httpd-vhosts.conf中了

#获取域名信息 xxx.insoz.com
RewriteCond %{HTTP_HOST} ^[a-z0-9\-]+\.leonis\.xyz$
#将获取到的域名重写为insoz.com/xxx
RewriteRule ^/(.*)$ /%{SERVER_NAME}/$1 
#重写xxx.insoz.com 到子目录/data/wwwroot/domains/xxx
RewriteRule ^/([a-z0-9\-]+)\.leonis\.xyz/(.*)$ /data/wwwroot/domains/$1/$2 [L]

[Apache] apache 开启 gzip提高访问速度

为了提高网页浏览速度,我们可以在服务器的apache开启gzip压缩功能,这样压缩使网页更小,自然下载需要的时间就更少了,用户体验更佳。下面来介绍如何开启这个功能。
1、首先得确认apache是否已经加载了mod_deflate模块。

httpd -M

如何此模块不在列表中,可以参考这篇文章:如何安装加载mod_deflate模块。
https://www.centos.bz/2011/09/linux-apache-install-mod-deflate-module/
2、编译配置文件httpd.conf,增加支持gzip的文件类型,如下:

AddOutputFilterByType DEFLATE text/plain
AddOutputFilterByType DEFLATE text/css
AddOutputFilterByType DEFLATE application/xml
AddOutputFilterByType DEFLATE application/rss+xml
AddOutputFilterByType DEFLATE application/atom_xml
AddOutputFilterByType DEFLATE application/x-javascript
AddOutputFilterByType DEFLATE application/x-httpd-php
AddOutputFilterByType DEFLATE text/html

3、重启httpd

service httpd restart

4,检验是否已经开启成功。

[Apache] 安装eAccelerator

eAccelerator是一个自由开放源码php加速器,优化和动态内容缓存,提高了php脚本的缓存性能,使得PHP脚本在编译的状态下,对服务器的开销几乎完全消除。 它还有对脚本起优化作用,以加快其执行效率。使您的PHP程序代码执效率能提高1-10倍。类似的php加速器有:Xcache,APC等。下面是安装方法:

cd /usr/local/
wget http://jaist.dl.sourceforge.net/project/eaccelerator/eaccelerator/eAccelerator%200.9.6.1/eaccelerator-0.9.6.1.zip
unzip eaccelerator-0.9.6.1.zip
cd eaccelerator-0.9.6.1
export PHP_PREFIX="/usr/local/php"
$PHP_PREFIX/bin/phpize
./configure -enable-eaccelerator=shared -with-php-config=$PHP_PREFIX/bin/php-config
make && make install
cd /usr/local/
mkdir eaccelerator
chmod 0777 eaccelerator

加载eAccelerator,创建/usr/local/php/etc/php.ini文件,加入如下代码加载:

[eaccelerator]
zend_extension="/usr/local/php/lib/php/extensions/no-debug-non-zts-20060613/eaccelerator.so"
eaccelerator.shm_size="32"
eaccelerator.cache_dir="/usr/local/eaccelerator"
eaccelerator.enable="1"
eaccelerator.optimizer="1"
eaccelerator.check_mtime="1"
eaccelerator.debug="0"
eaccelerator.filter=""
eaccelerator.shm_max="0"
eaccelerator.shm_ttl="0"
eaccelerator.shm_prune_period="0"
eaccelerator.shm_only="0"
eaccelerator.compress="1"
eaccelerator.compress_level="9"

eaccelerator参数设置参考:http://www.centos.bz/2012/03/eaccelerator-parameter/
重启httpd生效:

service httpd restart

[Apache]访问日志IP统计

这两个服务器apache error日志暴涨~~~,检查了下日志,封了几个IP

日志内容如图~~~

 

QQ20141206-1

cat ip-error.log |awk -F " " '{print $8}'|sed 's/]//g'|sort|uniq -c|sort -rn

首先用awk 过滤出IP. 以空格位分隔符,打印第八个域,然后用sed 把多余出来的]替换,再排序统计,最后输出到一个文件

得到如图锁所示IP,然后检查量比较大的IP,封了有问题的就OK

iptables -I INPUT -s ip -j DROP

 

QQ20141206-2.

apache 记录来访日志,并按照日期进行分割

逐个对每个虚拟主机进行配置的,找到一个虚拟主机,添加如下内容

LogFormat "%h %l %u %t "%r" %>s %b "%{Referer}i" "%{User-Agent}i"" combined
LogFormat "%h %l %u %t "%r" %>s %b" common
CustomLog "/usr/logs/logs/access_log" combined

然后,这样的话当前的虚拟主机的日志就会放到/data/wwwlogs/apache/

<VirtualHost *:80>
...
LogFormat "%h %l %u %t "%r" %>s %b "%{Referer}i" "%{User-Agent}i"" combined
LogFormat "%h %l %u %t "%r" %>s %b" common
CustomLog "/data/wwwlogs/apache/access_log" combined
</VirtualHost>

如果要添加按照日期进行划分,如下请修改:

CustomLog "/backup/logs/access_log" combined
CustomLog "|/usr/local/apache/bin/rotatelogs /data/wwwlogs/apache/access.%Y%m%d 86400" common

 

/usr/local/apache/                    apache路径

/data/wwwlogs/apache/           日志路径

access                                       日志前缀

%Y%m%d                                    后缀格式

86400                                       分割时长

具体日志命名如下:access.20140608

.htaccess:简介、访问控制、验证、目录浏览控制

一、.htaccess简介

1.什么是.htaccess

.htaccess是一个纯文本文件,里面存放着Apache服务器配置相关的一些指令,它类似于Apache的站点配置文件,如httpd.conf(Apache2已经支持多站点,因此你的站点配置文件可能在/etc/apache2/conf.d/目录下)。

.htaccess与httpd.conf配置文件不同的是,它只作用于当前目录。另外httpd.conf是在Apache服务启动的时候就加载的,而.htaccess只有在用户访问目录时加载,开销大、速度慢。

既然如此,为什么我们还要用.htaccess呢?因为它配置起来简单,它还支持重定向、URL重写以及访问验证,另外它管理起来很方便,可以很好适应网站迁移。总之,各有优缺点,主要就看你是要从全局考虑还是只配置单个目录。

2.AllowOverride All

通常情况下,Apache是默认启用.htaccess的,但是为了以防万一,请检查一下自己站点的配置文件,如httpd.conf,是否有这行:

AllowOverride All

这行允许重写配置文件。也就是如果能够从.htaccess加载配置文件,那么就以.htaccess为配置文件对其所在目录进行配置。

3.500错误

如果你租用了云服务提供商的主机或者空间,那么他们可能不会给你读写httpd.conf文件的权限,你也不可能检查AllowOverride命令参数是否为All,这时,你可以新建一个目录,在里面写一个.htaccess文件,文件中随意写入一些服务器看不懂的东西,然后访问该目录里的一个页面,耐心等待500错误的出现。

如果没有出现,那么.htaccess没有被启用,你需要向你的服务供应商寻求帮助;如果出现了,那么恭喜你,你可以对当前目录重写Apache配置。

/!注意:.htaccess语法错误可能会影响整个站点,如果你不确定这样做是否安全,请联系你的云服务供应商。
二、.htaccess访问控制(Allow/Deny)

1.访问控制基础:Order命令

为了限制用户访问一些关键目录,.htaccess可以提供目录访问限制。你只需要在要限制的目录中,加入如下.htaccess文件:

# no one gets in here!
deny from all

这会限制所有用户通过浏览器访问该目录,这太一刀切了,因此我们还可以增加一些特定的条件,如允许指定IP地址的访问:

Order Allow,Deny
Deny from All
Allow from 192.168.0.0/24

Order命令是一个难点,也是配置apache的基础,它决定了Apache处理访问规则的顺序。

  • 通过Allow,Deny参数,Apache首先找到并应用Allow命令,然后应用Deny命令,以阻止所有访问。
  • 通过Deny,Allow参数,Apache首先找到并应用Deny命令,然后应用Allow命令,以允许所有访问。

了解Order的用法后,再仔细考虑下上面的例子,你或许能够发现Deny命令是多余的,以下用法和之前的描述语义相同:

Order Allow,Deny
Allow from 192.168.0/24

2.利用.htaccess过滤域名或网络主机(Allow/Deny)

下例可以限制所有含有“domain.com”的网络主机访问网站:

Order Allow,Deny
Allow from all
Deny from .*domain.com.*

3.利用.htaccess禁止访问指定文件(Files)

Files命令可以用于过滤指定文件:

# secure htaccess file
<Files .htaccess>
 order allow,deny
 deny from all
</Files>

4.利用.htaccess禁止访问指定文件类型(FilesMatch)

下面的代码将限制访问所有.log和.exe文件:

<FilesMatch ".(log|exe)$">
 Order allow,deny
 Deny from all
</FilesMatch>

我们还可以通过Files命令描述文件类型,但是需要在命令后面加一个波浪线(~),该符号启用Files命令的正则表达解析功能:

<Files ~ "^.*.([Ll][Oo][Gg])|([eE][xX][eE])">
 Order allow,deny
 Deny from all
 Satisfy All
</Files>

有以下几点需要读者注意:

  • Files之后的波浪线用于开启“正则表达式”分析。请注意,这是个过时的用法,Apache更推荐使用<FilesMatch>指令。
  • 正则表达式必须在双引号之间。
  • 双引号中的“管道符”(|)用于将两种文件类型(.log和.exe)分开,相当于逻辑“或”
  • Order命令必须嵌在Files节(Section)中,否则将会应用到所有文件
  • Satisfy All表示必须同时满足主机级别(Allow/Denay)和用户级别(Require)的限制,All是默认值,该行可以省略。

三、利用.htaccess进行密码保护与验证

1.配置.htaccess

AuthType Basic
AuthName "restricted area"
AuthUserFile /usr/local/var/www/html/.htpasses
require valid-user

这个配置文件可以保护.htaccess所在的整个目录,简单说明下参数:

  • AuthType:验证类型为基本类型,密码以明文方式传输到服务器上
  • AuthName:验证提示,会出现在验证对话框中
  • AuthUserFile:验证配置文件,用于匹配用户名与密码,该密码是加密保存的
  • require valid-user:只有在AuthUserFile中出现的用户才可以通过验证

如果验证失败,则会出现401错误。

2.生成.htpasses文件

如何生成.htpasses文件呢?我们通过htpasswd命令生成密码文件:

htpasswd -c /usr/local/var/www/html/.htpasses lesca

它会提示你输入密码,并确认。之后将密码文件.htpasses保存在/usr/local/var/www/html/目录下。

3.对文件进行密码保护

保护与.htaccess在同一目录下的文件secure.php:

# password-protect single file
<Files secure.php>
AuthType Basic
AuthName "Prompt"
AuthUserFile /home/path/.htpasswd
Require valid-user
</Files>

保护.htaccess所在目录下的多个文件:

# password-protect multiple files
<FilesMatch "^(execute|index|secure|insanity|biscuit)*$">
AuthType basic
AuthName "Development"
AuthUserFile /home/path/.htpasswd
Require valid-user
</FilesMatch>

4.对指定IP进行密码保护

仅允许IP地址为99.88.77.66的主机直接访问该目录,其他IP需要验证。

AuthType Basic
AuthName "Personal"
AuthUserFile /home/path/.htpasswd
Require valid-user
Allow from 99.88.77.66
Satisfy Any

5.安全性

出于安全考虑,将.htpasses文件存放在WEB目录树之外也许是个好方法,但是由于.htpasses是隐藏文件,而且Apache不会输出隐藏文件,因此可以满足基本的安全要求。这是通过在主配置文件中加入如下限制实现的:

<Files ~ "^.ht">
 Order allow,deny
 Deny from all
 Satisfy All
</Files>

一般而言,这是默认设置,用户无需手动添加。我们唯一需要担心的是密码在网络传输过程中是明文形式,这很容易被黑客破译。Coz提供了一个开源项目Pajamas可以在本地利用JS对密码进行MD5加密,有兴趣的读者可以前去研究一下。
四、目录浏览与主页

1.启用目录浏览

# enable directory browsing
Options All +Indexes

2.禁用目录浏览

# disable directory browsing
Options All -Indexes

我们还可以通过IndexIgnore指令来禁用目录浏览。

# prevent folder listing
IndexIgnore *

通过IndexIgnore指令,我们可以禁止对指定类型的文件浏览:

# prevent display of select file types
IndexIgnore *.wmv *.mp4 *.avi *.etc

3.自定义目录浏览

如果你希望Apache在展示你的WEB目录时看起来与众不同,那么你需要启用FancyIndexing选项:

<IfModule mod_autoindex.c>
 IndexOptions FancyIndexing 
</ifModule>

通过这个选项,你可以实现自定义图标、添加文件类型描述、按日期排序等。

4.配置目录主页文件

即使启用了目录浏览,Apache未必会展示该目录的内容,因为该目录可能存在像index.htm这样的默认主页文件。Apache会有限展示主页文件,我们可以通过.htaccess设置:

DirectoryIndex index.html index.php index.htm

5.配置错误页面

如果Apache遇到错误,就会输出错误页面。配置自定义的错误页面,也许可以挽留即将离开的用户。

# custom error documents
ErrorDocument 401 /err/401.php
ErrorDocument 403 /err/403.php
ErrorDocument 404 /err/404.php
ErrorDocument 500 /err/500.php
转自:http://www.oseye.net/user/199/blog/99

apache 禁止某个IP访问

定位到你的Apache安装目录下的conf文件夹,

找到httdp.conf文件,
加入如下内容:


Options Indexes FollowSymLinks
AllowOverride None
Order  deny,allow
Deny from 192.168.1.99

解释如下:
1、
,这里“你的网站根目录”是在这个httdp.conf文件里,
使用
DocumentRoot “你的网站根目录” 语句定义的 双引号 “……” 里的值,比如说/var/www/html之类的。
2、AllowOverride None
# AllowOverride 这个属性有两个值,None和All
当 AllowOverride 的值为All时,网站根目录里面的 .htaccess文件才能生效。
至于什么是.htaccess文件,请自己Google。
3、

Order deny,allow
Deny from 192.168.1.99

使用这个命令来达到屏蔽IP的作用,类似的用法还有:

#  允许所有主机访问
Order deny,allow
Allow from All
#  禁止所有主机访问
Order deny,allow
Deny from All

把上面的All改成指定的IP即可达到屏蔽某个IP的效果。

屏蔽IP端也一样,比如说屏蔽192.168.1.123这个IP所在的192.168.1这个IP段,只需要这样写:

#  禁止192.168.1这个IP段访问
Order deny,allow
Deny from 192.168.1.123/24

另注:

当书写为:

Order deny,allow
Deny from All
Allow from 192.168.1.100

此时是禁止除了192.168.1.100这个IP之外的所有IP访问,也就是Deny,Allow这两个命令,在最后一个命令完成时才确定允许那些IP,禁止哪些IP。

请举一反三:

Order deny,allow
Allow from All
Deny from 192.168.1.100

没错,这段的意思是 允许除了192.168.1.100之外的所有IP访问。

Apache编译后添加系统服务

apache编译安装目录为/usr/local/apache2
编译安装完后启动和关闭apache的指令是

[root@localhost ]#/usr/local/apache2/bin/apachectl start | stop | restart

现在将其加入系统服务
将启动脚本复制到/etc/rc.d/init.d/

[root@localhost ]#cp /usr/local/apache2/bin/apachectl /etc/rc.d/init.d/httpd

然后在相应的启动级别如3,4,5中加入链接

[root@localhost ]#cd /etc/rc3.d
[root@localhost ]#ln -s /etc/rc.d/init.d/httpd S85httpd
[root@localhost ]#ln -s /etc/rc.d/init.d/httpd K85httpd

链接文件S85是启动序号。

然后在启动脚本/etc/rc.d/init.d/httpd文件第二行加入

#chkconfig: 345 85 85
#description: Apache

第一行参数意义表示在启动级别3,4,5启动(启动级别4无意义);启动序号为S85,关闭序号K85。
第二行为启动软件描述apache!

然后加入系统服务列表

[root@localhost ]#chkconfig –add httpd
[root@localhost ]#chkconfig –level 345 httpd on