借助Apache模块mod_cloudflare来增强网站安全性

一.介绍

一般情况下，如果要给没有备案的网站上CDN我们基本上都会选择Cloudflare，免费好用，虽然国内速度可能不够理想，但是也算够用吧。
那么问题来了，我们使用Cloudflare的目的是啥呢

1. 加快访问速度
2. 隐藏网站IP
3. 过滤部分恶意请求
4. 方便HTTPS

二.分析

总结一下，快+安全，然而，其实绝大部分的人都没有考虑完全，其实是可以有办法抓出源站的，而且可以说很容易，特别是没有故意做防范的。
介绍下我常用的方法

1. 如果是有用户系统的网站，直接测试注册，然后抓发件IP
2. 根据开放80和443端口的IP列表扫Host和证书
3. 批量扫子域名
4. 抓可能的框架报错页面看是否有debug输出环境参数

具体怎么搞就不说了，讲下防范

1. 用MailGun或者其他API发件服务(注意sendcloud好像API也会泄露发件IP)或者自建安全的邮件服务器
2. 对IP访问单独绑定vhost
3. 自己在意下就行
4. 用框架开发的程序部署的时候把Debug关掉 阅读全文→

Senra 标准 centos, 教程 2018-03-3 没有评论 865 views

Plesk为Apache安装mod_pagespeed

一.介绍

谷歌有个叫PageSpeed的Project，一共有三个产品，PageSpeed Service(CDN，不过已经关闭了)，PageSpeed Insights(网站检测，提供优化建议) 还有个就是这次我们要提到的PageSpeed Integration，这个目前有mod_pagespeed和ngx_pagespeed两个插件，看名字就能知道它们一个是针对Apache一个是针对Nginx的。

Plesk面板相比cPanel缺少了这个功能，这就很气，虽然有用户向官方请求添加这个功能，但是也不是一时半会儿能马上搞定的，那么就先来个非官方的代替方案吧。

二.搞起

本次只说mod_pagespeed怎么搞，为什么？因为方便，ngx_pagespeed需要重新编译Nginx，而且由于Plesk没有DA那样的自定义Build Template的功能，所以后续面板升级Nginx会导致失效，这就比较蛋疼，官方建议是如果要这么搞就必须锁死对应的包，防止更新。扯远了，后面会和其他Nginx插件一起说，现在回归正题。

本方案来自我在谷歌上瞎搜，想要看原文的可以去，我这边翻译总结下——>传送门

这个方案能实现的主要原因还是Apache支持直接动态加载模块，虽然Nginx也添加了这个特性，但是各插件基本都还不支持，另外mod_pagespeed相比ngx_pagespeed来说是更完善的，貌似前期的开发主要目标是它。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
#添加mod_pagespeed的yum源
 
cat > /etc/yum.repos.d/google-mod-pagespeed.repo <<-'EOF'
[google-mod-pagespeed]
name=google-mod-pagespeed
baseurl=http://dl.google.com/linux/mod-pagespeed/rpm/stable/$basearch
enabled=1
gpgcheck=0
EOF
 
#直接安装
yum install mod-pagespeed -y
 
#重启Apache
service httpd restart

阅读全文→

Senra 标准 centos, plesk, 教程 2017-09-9 没有评论 219 views