本文参考了PHP官方文档 http://php.net/manual/zh/install.windows.iis7.php 写成,如果需要了解详细信息,请直接参考PHP官方文档。
安全服务工程师大家应该都知道,对于他的岗位职责你可能会说不就是渗透测试啊、应急响应嘛.....实际上正式一点的企业对于安服的要求是包括了漏洞扫描、安全基线检查、渗透测试、安全加固、日志分析、恶意代码检查、应急响应、安全加固等差不多十个方面的内容的。内容多吗?我也觉得多!
Nginx站点的搭建其难点在于安装Nginx,不同于Apache可以直接使用yum或者apt-get的方式安装,Nginx不在系统标准源中,因此常见的安装方式主要有两个:编译安装和第三方yum源安装。由于编译安装Nginx需要安装的拓展比较多,此次我们使用第三方yum源方式安装Nginx,同时以此为基础,搭建Linux+Nginx+Mysql+Php的站点,分为以下几步:
现象:销售反馈用户自己开通的账户,只收到了提示邮件,账户没有实际生成 前因: 1. 用户开通账户调用接口后,在该接口中再次调用销售系统接口实际开通账户 2. 有同事开发另一功能时提交过销售系统的代码
这段时间在做一个编码转换的程序,其中用到了一个SDK,是以DCOM形式发布的。把这个DCOM添加到引用中,用VS2005编写成一个WebService程序,没有多久就成功了,本以为大功告成,可是接下来的麻烦就来了。
使用nginx接受请求并对其进行转发。并使用了ngx_http_realip_module模块转发真实请求IP。
作为网站维护人员,不仅仅维护网站内容,还需要对网站流量,seo优化、管理员日志、用户活动情况、网站异常等进行日常监控。
Status Code 499、500、502、504也是后端Http服务经常返回的状态码,试想一下,对于每个状态码,如果你能通过一些修改或配置来人为复现它,是不是会更利于你去掌握它呢?本文就是通过制造它们的方式来学习它们。
每当遇到http错误代码为400,代表客户端发起的请求不符合服务器对请求的某些限制,或者请求本身存在一定的错误。 使用Fiddler2 查看请求发现请求的长度超过了MaxRequestBytes的默认
VS2013 、VS2015 、VS2017调试出现无法启动iis express web服务器
vim /usr/local/nginx/conf/vhost/test.com.conf
Linux上的PHP同样有NTS和TS版本的区别,默认是NTS版本,configure时加上–enable-maintainer-zts则编译为TS版本
今日在使用 Nginx 的时候出现 500 错误,就搜索了一下错误代码,分享给大家。
趁着国庆假期,开发了个小程序,但需要服务器使用 HTTPS 协议,因此借这次机会,学着自己完成 HTTPS 升级工作。
之前有很多朋友问关于Nginx的upstream模块中max_fails及fail_timeout,这两个指令,分别是配置关于负载均衡过程中,对于上游(后端)服务器的失败尝试次数和不可用时间,很多人不是很理解这两个参数到底怎么用,以及具体的含义
1.软件版本:PHP版本应该从PHP官方提供的下载页面下载,注意不要下载beta版本。 PHP官网下载地址为:http://www.php.net/downloads.php 2.控制脚本访问权限:PHP默认配置允许php脚本程序访问服务器上的任意文件,为避免php脚本访问不该访问的文件,从一定程度上限制了php木马的危害,需设置php只能访问网站目录或者其他必须可访问的目录。 /usr/local/apache2/web/为网站根目录,打开php.ini,安全加固配置方式如下: open_basedi
PHP代码调试与日志 (原创内容,转载请注明来源,谢谢) 一、代码调试 由于PHP很少有类似java、.NET的断点调试工具,因此通常都是要采用输出中间结果的方式进行调试,主要如下: 1、var_dump 对于可以直接打印的(如在controller层、view层),则使用此方法进行打印。对于controller,如果是调用的ajax,要用此方法打印还要配合firebug等浏览器调试工具。 2、error_log 当无法直接在浏览器输出调试结果时(大部分情况,如service、dao等),则采用此方式
距离上次被DDOS攻击已经有10天左右的时间,距离上上次已经记不起具体那一天了,每一次都这么不了了之。然而近期一次相对持久的攻击,我觉得有必要静下心来,分享一下被黑的那段经历。
如果我们的网站有一个目录,可以上传图片,可能保不准有些别有用心的人会通过一些手段,上传php文件到这个目录下。那么这个php文件就会被apache执行,如果这个php文件里写的是恶意代码,你的服务器自然就会遭到***。毕竟开放了这样一个权限,肯定会被人上传***文件,如果被夺取了你的服务器root权限就很危险了。
限定某个目录禁止解析php: 对于使用php语言编写的网站,有一些目录是有需求上传文件的。如果网站代码有漏洞,让黑客上传了一个用PHP写的木马,由于网站可以执行PHP程序,最终会让黑客拿到服务器权限。
代码审计指的是对源代码进行检查,寻找代码中的bug和安全缺陷,这个是一项需要多方面技能的技术,所以我们需要掌握编程,漏洞原理,还要了解系统服务和中间件等。但是这对我们小白来说,可能就是一个“代码审计之从入门到放弃”的悲惨故事,所以我们的学习路线很重要,这里我们就一起来制定一个学习路线理清我们的学习思路。
应用程序池xxxx已启用 32 位工作进程,但未找到 SysWOW64 支持。Windows Process Activation Service (WAS)将禁用此应用程序池。要解决此问题,请禁用以 32 位工作进程运行,或者请安装 SysWOW64 支持。
据Netcraft今年5月份放出了一篇统计文章中,Apache、Nginx和微软的IIS分别以45.61%、20.22%和7.83%市场占有率依然排在“活跃网站所使用Web服务器市场份额”的前三甲。
Nginx作为一个流行、轻量、高性能、稳定的web服务器,是应用运维日常最常接触的web服务器,更多的时候它是用于web代理服务,今天要说的是日常维护Nginx中最常遇到的两个HTTP状态码502和504
1. display_errors = Off;//控制php是否输出错误;在生产环境中输出会泄露敏感信息;建议记录错误而不是将它们发送到STDOUT off :不显示任何错误;stderr :向STDERR显示错误(仅影响CGI/CLI) ;On/stdout :向STDOUT显示错误(就是直接在屏幕打印错误) 2. log_errors = On ;//将错误记录到服务器指定的日志;STDERR ; 或者error_log指令指定的位置
Php的配置项可以在配置文件中配置,也可以在脚本中使用ini_set()函数临时配置。
php-fpm定义open_basedir目录概要 vim /usr/local/php-fpm/etc/php-fpm.d/test.conf//加入如下内容 php_admin_value[open_basedir]=/data/wwwroot/aming.com:/tmp/ 创建测试php脚本,进行测试 再次更改aming.conf,修改路径,再次测试 配置错误日志 再次测试 查看错误日志 php-fpm定义open_basedir open_basedir 的作用是限制php在指定的目录里活动。 因
nginx error_log设置 1.error_log syslog:server=192.168.1.1 [级别] //直接发送给远程syslog日志集中服务器 2.error_log stderr ;//直接发送给stderr;发送给stderr的信息可以使用syslog记录的日志查看,一般的配置是/etc/rsyslog.d/50-default.conf,记录下的日志有的是在/var/log/messages,我的是在/var/log/syslog;如果没有记录下来就重启service syslog restart 3.第二个参数是错误级别:debug,info,notice,warn,error,crit,alert或emerg。上面的日志级别按严重性增加的顺序列出,指定了级别高的,低级别就不会记录 4.有人说如果php-fpm没有开启error_log,nginx就不能记录下php的错误,我把所有php-fpm的error_log都注释了,nginx的错误日志了也是有php的错误信息的 , 下一篇再详细写php-fpm下的错误日志
随着使用 PHP 环境的用户越来越多,相关的安全问题也变得越来越重要。PHP 环境提供的安全模式是一个非常重要的内嵌安全机制,PHP 安全模式能有效控制一些 PHP 环境中的函数(例如system()函数),对大部分的文件操作函数进行权限控制,同时不允许对某些关键文件进行修改(例如 /etc/passwd)。但是,默认的 php.ini 配置文件并没有启用安全模式。
本章从IIS的历史介绍简述IIS的特性演进和IIS的架构,目的是使读者对IIS有一个初步的认识。让读者了解IIS是什么,能做什么以及IIS的组成部分。
今天闲来无事,想着重新搭建DVWA靶场耍耍,遂在宝塔面板上尝试搭建DVWA靶场,搭建过程中,发现访问php页面访问报错502状态码,于是就把排查解决过程中记录了下来,供大家参考。
一个功能上线后,其实研发心里根本没底儿,不知道这个功能上线以后是不是真的没问题;有经验一些老同学还知道直接登录线上机器去tail -f php.error.log,但是对于新同学来说,基本就只能等着被通知服务故障。
问题反馈及更多常见问题 请访问:https://bbs.vpser.net/search.php使用搜索功能搜索相关关键词。 或访问:https://bbs.vpser.net/forum-25-1.html发帖提问,请问前请确保已经在论坛或https://www.vpser.net搜索过没有相关的解决方法再发帖。
程序开发人员一般会把重复使用的函数写到单个文件中,需要使用某个函数时直接调用此文件,而无需再次编写,这种文件调用的过程一般被称为文件包含。
在平常的工作中,我作为PHP程序员经常要搭建一下环境,这个环境就是Linux系统下安装nginx,php,mysql这三个软件,对软件进行配置,然后在浏览器上能够正常打开运行查看项目。CentOS中安装软件有好几种方式,我经常用的是包安装方式,因为这种非常简单一句命令就能安装成功,这也是与windows下安装软件最大的不同点。包安装方式就一个关键单词就是yum。
无论是apache还是nginx,php.ini都是适合的。而php-fpm.conf适合nginx+fcgi的配置
无论是Apache还是Nginx,php.ini都是适合的,而php-fpm.conf适合nginx+fcgi的配置
异常处理(又称为错误处理)功能提供了处理程序运行时出现的错误或异常情况的方法。
目的 防范因为主机没有加固,造成储存在开发服务器中的源代码和测试数据被黑客获取。 范围 本规范适合于开发服务器安全加固配置。 MYSQL 1. 下载位置 MySQL程序的下载,应该从MySQL官方提供的下载页面或者安全平台部第三方软件统一下载前台(建设中)下载。MySQL官网地址为: http://www.mysql.com/downloads/mysql/ MariaDB则在 https://downloads.mariadb.org/ 1.1 下载后的校验 下载的同时,需记录下官方提供的文件hash(推
昨天在更新完文章《升级博客文章同步微博的插件:PHP正则提取Markdown的图片地址》后,博客突然无法访问了。
php的安全模式是个非常重要的内嵌的安全机制,能够控制一些php中的函数,比如 system(),同时把很多文件操作函数进行了权限控制,也不允许对某些关键文件的文件,比如 /etc/passwd
限定某个目录禁止解析php 虚拟主机配置文件添加的核心配置内容: <Directory /data/wwwroot/111.com/upload> php_admin_flag engine off //在upload目录下禁止解析php <FilesMatch *\.php(.*)> //这行以及以下两行的意思就是 //让php的文件访问受到限制,防止php文件的源代码被查看 Order allow,deny Deny
PHP相关配置 : 通过如下方式找到咱们的php配置文件,这才是真正的PHP配置文件! [root@localhost test3.com]# /usr/local/php7/bin/php -i | grep -i 'loaded configuration file' Loaded Configuration File => /usr/local/php7/etc/php.ini 编辑配置文件: vim /usr/local/php7/etc/php.ini 提高安全性: 搜索 /disable_fun
http2.4.1 以后不再需要NameVirtualHost以及不再支持ServerName * 这种写法。
1.1.1 通过yum安装Nginx和php,更改了Nginx里面fastcgi_pass后的地址php不能正常请求 1.1.1.1 问题还原: Nginx+php的服务器地址是10.0.0.41/24 Nginx 安装的是1.14 php安装的是7.1,yum安装过程不细讲
11.28 限定某个目录禁止解析php 访问控制 – 禁止php解析目录概要 核心配置文件内容 <Directory /data/wwwroot/www.123.com/upload> php_admin_flag engine off </Directory> curl测试时直接返回了php源代码,并未解析 案例 假设有一个目录是可以上传图片,但是可能被有心之人上传php上去,因为httpd开放了php模块,所以如果被人上传了木马文件(php类型),httpd就有可能会进行执行,
Webshell是黑客经常使用的一种恶意脚本,其目的是获得对服务器的执行操作权限,比如执行系统命令、窃取用户数据、删除web页面、修改主页等,其危害不言而喻。黑客通常利用常见的漏洞,如SQL注入、远程文件包含(RFI)、FTP,甚至使用跨站点脚本攻击(XSS)等方式作为社会工程攻击的一部分,最终达到控制网站服务器的目的。
4.查看PHP的错误日志,打开php.ini文件,错误位置在/var/log/php/error.log
领取专属 10元无门槛券
手把手带您无忧上云