扬帆科技—专业的Linux服务器代维护

Apache服务器开启mod_info模块危害

作者：linux120 发布时间：February 5, 2013 分类：服务器配置

描述：

目标Apache服务器的开启了mod_info模块的server-info功能。

通过请求/server-info可获取关于Apache服务器配置的敏感信息。

危害：

服务器的server-info信息中包含了类似服务器加载的模块、版本、根文档路径、配置文件路径等敏感信息，攻击者可以利用这些信息进行下一步的攻击。

解决方案：

1、如非必要，关闭server-info功能。
2、如该功能确需开启，请对该功能的访问实施限制，只限受信主机访问，如，按照如下方式配置httpd.conf文件使得只有某些受信IP才能访问该功能：

SetHandler server-info
Order allow,deny
# Allow access from server itself
Allow from 127.0.0.1
# Additionally, allow access from local workstation
Allow from 218.5.74.111

如何防范PHP已知会话确认攻击

作者：linux120 发布时间：January 8, 2013 分类：服务器配置

描述：
目标存在PHPSESSID已知会话确认攻击漏洞。
1.通过注入用户的会话，冒充用户去通过网站的认证。
2. PHPSESSID已知会话确认攻击是通过注入一个客户的PHPSESSID，然后修改其PHP session cookie，最后通过修改后cookie值去通过网站的认证。

危害：
1.冒充用户去通过认证，然后进行下一步攻击。
2. PHPSESSID已知会话确认攻击（Session fixation）的原理与Session劫持非常相似。攻击者需事先获得该session ID，然后通过欺骗用户使用该session ID去进行认证，认证后由于session ID不变，而session则变成了一个认证后的session，最后攻击者则可以直接使用该session ID和认证后的session以用户的身份通过系统的认证。

解决方案：
在PHP.INI文件中配置 session.use_only_cookies = 1。该选项让管理员能够避免用户被攻击。默认值为 0.
注：
1. 请确认修改的 php.ini 文件是当前网站使用的，您可以使用 phpinfo()函数来确认 php.ini 文件位置；
2. 去掉前面的分号。
如 ;session.use_only_cookies = 1 改为
session.use_only_cookies = 1

小型应用Mysql比较安全的备份

作者：linux120 发布时间：December 30, 2012 分类：服务器配置

mysql备份可以停库的时候直接将文件打包，也可以使用mysqldump导出，如下是mysqldump导出时不同引擎的方案。
针对MYISAM存储引擎
mysqldump -uroot -p123456 --lock-all-tables backupdb> backup.sql
针对INNODB存储引擎
mysqldump -uroot -p123456 --skip-opt --single-transaction --add-drop-table --create-options --quick --extended-insert --set-charset --disable-keys backupdb> backup.sql

Mysql使用索引时需要记住的技巧

作者：linux120 发布时间：December 24, 2012 分类：服务器配置

1对于小表来说,使用索引对于性能不会有任何提高.
2当你的索引列中有极多的不同的数据和空值时索引会使性能有极大的提高.
3当查询要返回的数据很少时索引可以优化你的查询 比较好的情况是少于全部数据的.
25% 如果你要返回的数据很多时索引会加大系统开销.
4索引可以提高数据的返回速度 但是它使得数据的更新操作变慢在对记录和索引进行更新时请不要忘记这一点如果要进行大量的更新操作在你执行更新操作时请不要忘记先删除索引当执行完更新操作后只需要简单的恢复索引即可对于一次特定的操作系统可以保存删除的索引18 个小时在这个时间内数据更新完后你可以恢复它.
5索引会占用你的数据库的空间 如果你的数据库管理系统允许你管理数据库的磁盘空间那么在设计数据库的可用空间时要考虑索引所占用的空间.
6对字段的索引已经对两个表进行了归并操作 这一技术可以极大地提高归并的速度.
7大多数数据库系统不允许你对视图创建索引 如果你的数据库系统允许这样做那么可以使用这种方法来在SELECT 语句中对视图的数据进行排序很不巧一些数据库
系统中也不允许在视图中使用ORDERY BY 子句.
8不要创建对经常需要更新或修改的字段创建索引 更新索引的开销会降低你所期望获得的性能.
9不要将索引与表存储在同一个驱动器上,分开存储会去掉访问的冲突从而使结果返回得更快.

如何查看nginx的运行状态

作者：linux120 发布时间：December 22, 2012 分类：服务器配置

首先要查看nginx的status需要在编译nginx的时候加上--with-http_stub_status_module

然后在nginx.conf的server段中定义类似如下内容：
location /status {
stub_status on;
access_log off;
allow SOME.IP.ADD.RESS;
deny all;
}
访问http://ip.ad.dr.ess/status
Active connections: 1597
server accepts handled requests
3077942 3077942 7823838
Reading: 41 Writing: 83 Waiting: 1473
active connections — 对后端发起的活动连接数 server accepts handled requests — nginx 总共处理了 3077942 个连接, 成功创建 3077942 次握手 (证明中间没有失败的), 总共处理了 7823838 个请求 reading — nginx 读取到客户端的Header信息数 writing — nginx 返回给客户端的Header信息数 waiting — 开启 keep-alive 的情况下，这个值等于 active – (reading + writing)，意思就是Nginx说已经处理完正在等候下一次请求指令的驻留连接