TypechoJoeTheme

尘遇 logo

当我遇上你
排行榜
统计
尘遇
搜索到 15 篇与 安全 的结果
2022-11-07
Cloudflare防CC攻击
不需要会写规则,不需要分析流量,小白式的操作,随便点点鼠标就行了。非常简单!哪怕超过千万/亿次攻击,1H1G也防得住,网站不会挂,收录不会掉,API也不会影响!确定您的网站被CF保护,也就是说DNS→是打开了代理,A/AAAA解析是橙色。(如果之前IP漏了,那么就需要换IP)保护之前请关闭所有之前设置的WAF→防火墙规则/速率限制规则/托管规则/工具,以及包含安全性的页面规则!因为在这之前您可能按照网上的教程进行设置过,可能会影响到下面的规则优先级(如果您之前没有可以忽略这条)首先进入受CF保护的网站,找到安全性第一步:安全级别设置CF→安全性→设置→安全级别设置为:高(可以打开I'm Under Attack!我受到攻击,任何人访问都会等待5秒钟进行检查,也就是常说的CF五秒盾!这里慎重打开I'm Under Attack!,因为会影响到网站收录、API、正常用户访问!)质询通过期设置成:15分钟或者30分钟,严重可以设置5分钟(这里慎重设置,不要太低,不要太高!)浏览器完整性检查:打开第二步:攻击防护设置CF→安全性→DDOS→HTTP DDoS 攻击防护,点右边的配置进入规...
醉书生
2022-11-07

电脑网络

92 阅读
1 评论
2022-11-07
92 阅读
1 评论
2022-10-14
Nginx 跳转实例
正则表达式匹配其中:~ 为区分大小写匹配~* 为不区分大小写匹配!和!*分别为区分大小写不匹配及不区分大小写不匹配文件及目录匹配其中:-f和!-f用来判断是否存在文件-d和!-d用来判断是否存在目录-e和!-e用来判断是否存在文件或目录-x和!-x用来判断文件是否可执行flag标记last 相当于Apache里的[L]标记,表示完成rewritebreak 终止匹配, 不再匹配后面的规则redirect 返回302临时重定向 地址栏会显示跳转后的地址permanent 返回301永久重定向 地址栏会显示跳转后的地址1、导流到新域名换域名后导流到新域名需要将之前用的www.a.com域名的流量全部跳转到www.b.com实现效果:比如访问 www.a.com/123.html自动跳到www.b.com/123.html我们用nginx实现cd /etc/nginx/sites-availablevi mysite增加rewrite命令server { listen 80; server_name www.a.com; rewrite ...
醉书生
2022-10-14

电脑网络

62 阅读
0 评论
2022-10-14
62 阅读
0 评论
2022-09-26
防止根据IP查域名,防止源站IP泄露
有的人设置了禁止IP访问网站,但是别人用https://ip的形式,会跳到你服务器所绑定的一个域名网站上。直接通过https://IP,访问网站,会出现“您的连接不是私密连接”,然后点高级,会出现“继续前往IP”,然后点击后会跳到你服务器上的一个域名网站!为了防止上面这种情况,所以继续看:新建站点网站——添加站点——域名随便写一个不存在的,如:ha.haha——PHP版本:纯静态,配置里添加 return 444; 。设置默认站点默认站点设置为上面所建的一个假域名网站ha.haha禁止IP访问网站一般方法就是上面新建站点时的 return 444; 设置,一定要设置。禁止IP访问网站,防止服务器被恶意解析进阶方法ClientHello 中是带着 SNI 的,所以其实握手阶段是可以知道访问的域名是否合法的,NGINX 1.19.4 中添加了一个新的配置项 ssl_reject_handshake 用于拒绝握手,也就不会提供证书。使用方法也很简单,将原本默认配置中的 return 444 替换成 ssl_reject_handshake on 即可。server { lis...
醉书生
2022-09-26

网站建设

137 阅读
2 评论
2022-09-26
137 阅读
2 评论
2022-07-10
Nginx进阶安全规则
之前发过一些Nginx的安全规则,今天又更新了一下些!也许可能你会使用到!宝塔点击网站,配置文件添加即可!#请求这些敏感词时跳转下载10g文件 if ($request_uri ~* "(\.gz)|(\")|(\.tar)|(admin)|(\.zip)|(\.sql)|(\.asp)|(\.rar)|(function)|($_GET)|(eval)|(\?php)|(config)|(\')|(\.bak)") { return 301 http://lg-dene.fdcservers.net/10GBtest.zip; }#禁止下载以 XXX 后缀的文件 location ~ \.(zip|rar|sql|bak|gz|7z)$ { return 444; }#访问链接里含有 test 直接跳转到公安网 if ($request_uri ~* test=) { return 301 https://www.mps.gov.cn; }#防止SB爬虫 if ($http_user_agent...
醉书生
2022-07-10

网站建设

150 阅读
0 评论
2022-07-10
150 阅读
0 评论
2022-06-15
新秀开启和关闭MySQl外网访问及安全策略
默认情况下数据库权限是本地访问的,如果要开启远程访问呢?宝塔创建的数据库默认只能本机访问,如果要让其它服务器访问,就要设置一下数据库的访问权限。宝塔普通设置1、修改权限首先修改数据库访问权限为"所有人"或"指定ip","所有人"就是所有ip都能访问,这种方式不太安全,不太推荐这种方式,"指定ip"可以设置允许访问的ip。2、防行端口然后在"安全"中的"防火墙"这里放行3306端口3、安全组放行如果是阿里云或者腾讯云服务器,还要在服务器安全组中放行3306端口宝塔进阶设置如何安全的开启MySQL远程访问权限?近期数据库被勒索事件频发,问了下当事人,发现数据库开启了外网访问,但是没有控制好授权,导致被不法分子有机可乘,现在教大家如何使用相对安全的方案开启数据库远程访问,另外入非必须请勿开启MySQL外网访问权限。使用环境介绍:面板版本:测试版本7.9.26操作系统:CentOS7.9MySQL版本:8.0.24系统防火墙:3.11、防火墙放行首先在系统防火墙中放行 3306端口2、查看是否成功登录到SSH终端里,查看系统防火墙是否放行成功firewall-cmd --list-ric...
醉书生
2022-06-15

岁月如歌

249 阅读
0 评论
2022-06-15
249 阅读
0 评论
2021-09-30
热文暴力破解自己忘了密码的zip,rar, pdf等文件
有时候可能会忘了自己的文件密码,那就可能需要暴力破解了!既然暴力破解,那就最好是能利用GPU的算力的工具,本文来自loc的bzxyscc!工具:过程:用John the Ripper中的工具获取hash,然后用hashcat破解。以zip文件为例:就以15楼的文件为例,为了方便,先把那个zip改成文件名mjj.zip然后用john软件获取hash (其它类型文件需要找对应的,比如rar就应该用rar2john.exe),命令行界面类似于john-1.9.0-jumbo-1-win64\run>zip2john.exe C:\Users\用户名\Downloads\mjj.zip得到的类似于ver 2.0 mjj.zip/p.jpg PKZIP Encr: cmplen=32479781, decmplen=33117655, crc=75D6287 ver 2.0 mjj.zip/password.txt PKZIP Encr: cmplen=20, decmplen=8, crc=50FE386B mjj.zip:$pkzip2$2*1*1*0*8*24*075d*058...
醉书生
2021-09-30

电脑网络

1,401 阅读
8 评论
2021-09-30
1,401 阅读
8 评论
2021-07-08
精彩Nginx通过User-Agent禁止采集机器人并返回炸弹
防止采集,可以直接禁了垃圾bot, 发现caddy有个http.nobots,nobots保护你的网站免受网络爬虫和机器人。可以给采集的恶意程序返回特定的数据。比如实际1G压缩成1M大小的gzip文件(炸弹),对于服务器的话就是发送了1M的文件,恶意程序请求后会自动解包为1G的数据,可以对恶意程序造成很大的压力。可以直接给特定UA返回一个炸弹。用php返回炸弹将下面的代码写到网站目录下一个新的php文件,比如bomb.php<?php header('Content-Encoding: gzip'); echo file_get_contents('1G.gzip');如何制造炸弹插件中未提供炸弹,因此您必须创建一个炸弹。在Linux中,这确实很容易,您可以使用以下命令。dd if=/dev/zero bs=1M count=1024 | gzip > 1G.gzip dd if=/dev/zero bs=1M count=10240 | gzip > 10G.gzip dd if=/dev/zero bs=1M count=1048576 | gzip >...
醉书生
2021-07-08

网站建设

939 阅读
2 评论
2021-07-08
939 阅读
2 评论
2021-04-17
新秀Nginx常用安全屏蔽规则
Nginx 是一个高性能的 HTTP 和反向代理服务,目前很大一部分网站均使用了 Nginx 作为 WEB 服务器,Nginx 虽然非常强大,但默认情况下并不能阻挡恶意访问,整理了一份常用的 Nginx 的屏蔽规则,希望对各位站长有所帮助。在开始之前,请备份你的 Nginx 配置,修改完毕后需要重载一次 Nginx 的,否则不会生效。如无特殊注明,下面命令均添加到 server 段内防止文件被下载比如将网站数据库导出到站点根目录进行备份,很有可能也会被别人下载,从而导致数据丢失的风险。以下规则可以防止一些常规的文件被下载,可根据实际情况增减。 location ~ \.(zip|rar|sql|bak|gz|7z)$ { return 444; }禁止某个目录执行脚本比如网站上传目录,通常存放的都是静态文件,如果因程序验证不严谨被上传木马程序,导致网站被黑。以下规则请根据自身情况改为您自己的目录,需要禁止的脚本后缀也可以自行添加。 #uploads|templets|data 这些目录禁止执行PHP location ~* ^/(up...
醉书生
2021-04-17

网站建设

480 阅读
0 评论
2021-04-17
480 阅读
0 评论
2021-03-31
精彩防止网站被恶意镜像或反向代理
原理首先介绍一下防止镜像的思路,由于有之前使用PHP实现301跳转的经验,所以这次也是在服务器层面进行301跳转的处理。我们使用PHP来判断当前访问的域名是否和我们自己的域名一致,如果不一致,则直接301跳转到我们的网站。假如我们的域名是a.com,这时有恶意人士使用b.com对我们的站点进行反向代理,那么我们就可以通过判断a.com = b.com?来决定是否进行跳转,如果不一致,那么直接301跳转。实现方式实现的方式很简单,只需要简短的几行代码即可,将下方代码,放到网站的header或者footer之类的每个页面都会调用的php文件内,然后将$bkcom的值修改为你的域名,不需要写协议(http)。<!--防镜像代码--> <?php $nobkcom = $_SERVER['HTTP_HOST']; $bkcom = "www.ysni.cn"; //你的域名 if($bkcom != $nobkcom){ header('HTTP/1.1 301 Moved Permanently'); //添加301状态码 ...
醉书生
2021-03-31

网站建设

620 阅读
2 评论
2021-03-31
620 阅读
2 评论
2021-03-06
精彩Typecho安全小知识
1、开启评论来源页检查,这样如果来源不是当前网站,则会无法评论,防止利用post请求去刷评论。具体设置:设置——评论提交——检查评论来源页 URL 是否与文章链接一致设置——评论提交——同一 IP 发布评论的时间间隔限制为 1 分钟2、评论设置里允许使用的HTML标签和属性选项里务必不能填写a标签和script标签,经测试,填写这2项标签后,可以直接评论xss执行js脚本。例如a标签<a href="javascript:void(function() {$('body').remove()})()">点击删除整个网页</a>例如script标签<script> window.location.href = 'https://as.js.cn' </script>例如img标签<img src='w.123' onerror='alert("hey!")'>
醉书生
2021-03-06

网站建设

571 阅读
0 评论
2021-03-06
571 阅读
0 评论