文件上传漏洞是指攻击者通过上传恶意文件的方式，绕过服务器的安全机制，向服务器上传含有恶意代码的文件，从而实现对服务器的攻击。
最近，发现个人博客的Linux服务器，数据库服务经常挂掉，导致需要重启，才能正常访问，极其恶心，于是决心开始解决问题，解放我的时间和精力（我可不想经常出问题，然后人工重启，费力费时）。
当数据库服务经常突然挂断，造成无法访问时我们能做什么？本篇主题就是记录针对这一现象时发现问题，分析问题，最后解决问题的过程。
很多朋友在购买云服务器之前都会搜服务器一般用几核才够用，因为服务器现在配置很多。低到1核2G、2核4G。高到16核32G、32核64G。甚至某些云服务器可以做到256核5120G这种神奇配置。那么购买云服务器时如何选择cpu与内存搭配？出现资源不足时应如何排查原因呢？
2，关闭Web Server，过高的负载会导致后面的操作很难进行，甚至直接无法登录SSH。
在平常的网站中,验证码用于识别是否是机器访问或是人工,防止机器大规模访问注册或暴力破解密码
安装宝塔Linux面板 6.9.x，安装Linux工具箱，安装LNMP或LAMP环境
功能是：对访客的访问频率会先一步判断，根据用户自定义的范围，将频率过高的访客跳转向127.0.0.1，而没有达到频率的访客则会进行cookies验证，这样更大程序的对恶意流量攻击进行拦截，并且有效缓解了服务器的压力。 这样，还可以一定程度上拦截，攻击者伪装成的搜索引擎蜘蛛。
直接开启了cc五秒盾的效果，所有未cookies验证的用户全部被拦截了，很影响用户的体验。实际上typecho是可以实现控制的，比如在模板设置里增加对cc五秒盾的开关，我看wordpress很早就有了相关的支持，然而除了我们这些个开发模板的之外，对于新手而言是完全不知道怎么做的，所以有必要写一篇文章来水一水。原本的策略只有cookies验证拦截，出现五秒盾，我在此基础上增加了对访问频率的识别跳转。所以现在的功能是，对访客的访问频率会先一步判断，根据用户自定义的范围，将频率过高的访客跳转向127.0.0.1，而没有达到频率的访客则会进行cookies验证，这样更大程序的对恶意流量攻击进行拦截，并且有效缓解了服务器的压力。 这样，还可以一定程度上拦截，攻击者伪装成的搜索引擎蜘蛛。 我建议的是，在没有被攻击的情况下，为了用户体验和搜索引擎的抓取，不要进行开启。同时服务器如果是linux的话，配合cckiller脚本两个一起，效果会更好。 废话不多说，教程开始： 1.下载我整理好的zip文件，解压后将里面的cc.php扔到typecho的模板目录。 2.修改模板的function.php，在themeConfig方法内，增加如下代码。
一天下午，大家都在忙着各自的事情，突然小组人员都同时收到了短信提醒，以为是公司发奖金了，很是开心，咋一看“某某客户服务器cpu使用率100%，请及时处理！”原来是告警短信，同时看到钉钉群里发出了大量的告警信息……
pm、pm.max_children、pm.start_servers、pm.min_spare_servers、pm.max_spare_servers。
TTFB值过高是许多网站遇到的问题，什么是TTFB（ Time to First Byte），TTFB是指浏览器开始收到服务器响应数据的时间，（后台处理时间+重定向时间），是反映服务端响应速度的重要指标，就像你问朋友了一个问题，你的朋友思考了一会儿才给你答案，你朋友思考的时间就相当于 TTFB，你朋友思考的时间越短，就说明你朋友越聪明或者对你的问题越熟悉，对服务器来说，TTFB 时间越短，就说明服务器响应越快。
昨天写了一篇使用cdn的教程，因为我也是第一次弄，出了不少的差错，今天重新写一篇。 本文参考 IOIOX博客 文章教程修改，已获得作者授权，如果有看不懂的地方请 查看原文 ；
问题描述 突然收到一台服务器负载过高告警，网站打开缓慢 问题分析 （1）使用 top 命令看到cpu行的 iowait 达到了70%以上，断定是IO负载过高的原因 （2）使用 iotop -o 命令发现Nginx的写IO特别大，并且在上一步的top命令看到Nginx的进程状态为D，表示Nginx在等待IO已经为僵死状态 这时候可以知道是Nginx产生大量写操作导致的系统负载过高了，但还不能知道具体Nginx在写什么文件 （3）找到其中一个nginx worker进程的pid，使用 lsof -p pid 列
一、网络问题 1、临时性 检查：ping, mtr,dig,dig+trace 等命令，检查网络状况，DNS等 解决：联系机房或视具体情况而定 eg:http://ping.chinaz.com/ 查看各地响应时间 2、网络不同或距离太远 检查：客户端和机房所在网络情况 解决：双线机房或分布式部署，动态DNS，需要考虑成本 3、资源加载慢 检查：chrome控制台 解决：CDN，合并请求，压缩页面代码，多域名请求（http协议中有对浏览器并发请求连接数的限制，IE是10，火狐 chrome是6）等 二、前端
前期准备：安装宝塔Linux面板最新版，安装Linux工具箱，安装LNMP或LAMP环境
发卡网源码，英文名：Automatic shipping source code，适用于构建在互联网上用于虚拟商品自动发货和交易的网购平台。往往根据用途和规模不同，分为：企业发卡网源码和个人发卡网源码，其核心功能为自动发货和自动收付款，类似于线下的无人售货机。
稍大一些的网站，通常都会有好几个服务器，每个服务器运行着不同功能的模块，使用不同的二级域名，而一个整体性强的网站，用户系统是统一的，即一套用户名、密码在整个网站的各个模块中都是可以登录使用的。各个服务器共享用户数据是比较容易实现的，只需要在后端放个数据库服务器，各个服务器通过统一接口对用户数据进行访问即可。但还存在一个问题，就是用户在这个服务器登录之后，进入另一个服务器的别的模块时，仍然需要重新登录，这就是一次登录，全部通行的问题，映射到技术上，其实就是各个服务器之间如何实现共享 SESSION 数据的问题。
http协议是无状态的，即你连续访问某个网页100次和访问1次对服务器来说是没有区别对待的，因为它记不住你。 那么，在一些场合，确实需要服务器记住当前用户怎么办？比如用户登录邮箱后，接下来要收邮件、写邮件，总不能每次操作都让用户输入用户名和密码吧，为了解决这个问题，session的方案就被提了出来，事实上它并不是什么新技术，而且也不能脱离http协议以及任何现有的web技术。 原理很简单，假设你访问网页时就像逛澡堂，第一次进去你是没有钥匙的，这个时候你交了钱服务台就分配一把钥匙给你，你走到哪里都要带上，因为这是你身份的唯一标识，接下来你用这把钥匙可以去打开一个专有的储物柜存储你的衣物，游完泳，你再用钥匙去打开柜子拿出衣物，最后离开游泳池时，把钥匙归还，你的这次游泳的过程就是一次session，或者叫做会话，在这个例子中，钥匙就是session的key，而储物柜可以理解为存储用户会话信息的介质。 那么在web server中如何实现session呢？想必看了上面的例子你会很容易理解，主要是解决两个问题，一个是钥匙的问题，一个是存储用户信息的问题。对于第一个问题，即什么东西可以让你每次请求都会自动带到服务器呢？如果你比较了解http协议，那么答案一目了然，就是cookie，如果你想为用户建立一次会话，可以在用户授权成功时给他一个cookie，叫做会话id，它当然是唯一的，比如php就会为建立会话的用户默认set一个名为phpsessid，值看起来为一个随机字符串的cookie，如果下次发现用户带了这个cookie，服务器就知道，哎呀，刚刚这位顾客来了。 剩下的是解决第二个问题，即如何存储用户的信息，服务器知道会话id为abc的用户来了，那abc想存储自己的私人信息，比如购物车信息，如何处理？这个时候可以用内存、也可以用文件，也可以用数据库了，但有个要求是，数据需要用用户的会话id即可取到，比如php就默认会把会话id为abc的用户会话数据存储到/tmp/phpsess_abc的文件里面，每次读取都要反序列化程序可以理解的数据，写的时候又需要序列化为持久的数据格式。 较好理解的描述： session被用于表示一个持续的连接状态，在网站访问中一般指代客户端浏览器的进程从开启到结束的过程。session其实就是网站分析的访问（visits）度量，表示一个访问的过程。 session的常见实现形式是会话cookie（session cookie），即未设置过期时间的cookie，这个cookie的默认生命周期为浏览器会话期间，只要关闭浏览器窗口，cookie就消失了。实现机制是当用户发起一个请求的时候，服务器会检查该请求中是否包含sessionid，如果未包含，则系统会创造一个名为JSESSIONID的输出 cookie返回给浏览器(只放入内存，并不存在硬盘中)，并将其以HashTable的形式写到服务器的内存里面；当已经包含sessionid是，服务端会检查找到与该session相匹配的信息，如果存在则直接使用该sessionid，若不存在则重新生成新的 session。这里需要注意的是session始终是有服务端创建的，并非浏览器自己生成的。 但是浏览器的cookie被禁止后session就需要用get方法的URL重写的机制或使用POST方法提交隐藏表单的形式来实现。 二、如何实现session的共享？ 首先我们应该明白，为什么要实现共享，如果你的网站是存放在一个机器上，那么是不存在这个问题的，因为会话数据就在这台机器，但是如果你使用了负载均衡把请求分发到不同的机器呢？这个时候会话id在客户端是没有问题的，但是如果用户的两次请求到了两台不同的机器，而它的session数据可能存在其中一台机器，这个时候就会出现取不到session数据的情况，于是session的共享就成了一个问题。 1.各种web框架早已考虑到这个问题，比如asp.net，是支持通过配置文件修改session的存储介质为sql server的，所有机器的会话数据都从同一个数据库读，就不会存在不一致的问题； 2.以cookie加密的方式保存在客户端.优点是减轻服务器端的压力，缺点是受到cookie的大小限制，可能占用一定带宽，因为每次请求会在头部附带一定大小的cookie信息,另外这种方式在用户禁止使用cookie的情况下无效. 3.服务器间同步。定时同步各个服务器的session信息，此方法可能有一定延时，用户体验也不是很好。 4.php支持把会话数据存储到某台memcache服务器，你也可以手工把session文件存放的目录改为nfs网络文件系统，从而实现文件的跨机器共享。
今天闲来无事，想着重新搭建DVWA靶场耍耍，遂在宝塔面板上尝试搭建DVWA靶场，搭建过程中，发现访问php页面访问报错502状态码，于是就把排查解决过程中记录了下来，供大家参考。
三面与二面的内容差不多，没有更深的问题，但是，需要注重细节，同时三面面试官有时间会放烟雾弹，坚定自己的立场就好
算法题：在1个10G大小的文件中，存储的都是int型的数据，如何在内存使用小于8M的情况下进行排序 设计题：以微博为例，有1个亿的用户，同时用户之间有关注和粉丝，用户的关注和取关操作比较频繁，如何设计架构和API接口
这里抛出一个常见问题：PHP环境下脚本运行超时，尤其是处理后台服务数据处理时经常会遇到。
首先我在这里声明：不是本人亲自经历，是本人一个非常好的朋友亲身经历分享的 ，这些干货有一定的参考价值，在这里本人以文章的方式分享给大家，希望对需要往大型互联网公司发展的年轻人以及程序员有所帮助，话不多说：
这里介绍LVS集群的通用体系结构，设计原则和相应特点；LVS集群应用于建立可伸缩的Web，Media，Cache和Mail等网络服务。
1.什么是XXE? xxe即"XML外部实体注入漏洞"，顾名思义，是由于XML允许引入外部实体导致的漏洞，当程序没有禁止或者对外部实体做验证，攻击者构造特殊的xml语句传到服务器，服务器在传输给XML
这段时间服务器被大量攻击,有sql注入,有暴力破密码,有利用image漏洞的,最严重的导致访问我网站会被重定向,忍无可忍,彻底重做整个站点.本次完成将apache改为nginx,做了各种优化还有服务器迁移的事情,比较复杂.
该文介绍了如何为discuz论坛智能开启CC对抗，通过配置文件、日志记录、检查当前对抗是否打开等，以及脚本文件的使用。在系统负载过高的时候可以自动打开对抗策略，在系统负载降低的时候又可以及时关闭对抗策略降低影响了。最后将脚本加入到crontab中定时运行监测。
4、查看有多少个php-fpm执行 ps -fe |grep "php-fpm"|grep "pool"|wc -l
在上一期D课堂中，我们了解到，在浏览器输入域名却无法访问网站，很有可能是域名解析出了问题。D妹跟大家讲解了域名解析不生效的原因和排查方法，不知道大家学会了吗？
一台服务器报警了，内存占用过高，奇怪的是集群里其它的服务器都没问题。不过从以往的经验来看：每一个匪夷所思的问题背后，都隐藏着一个啼笑皆非的答案。
前段时间访问网站后台速度慢的离奇，甚至还会出现登录失败的情况，这几天总算折腾的差不多了 总结下来造成卡慢的原因主要有以下几个
一、监控基础 1、监控处理过程 采样---->存储----->报警---->展示 （1）、采样 采样的监控数据采集方法：ssh/telnet、SNMP、Protocol v3、IPMI(智能平台管理接口)、TLS。 （2）、数据存储 数据类型：历史数据(nvps)、趋势数据。 数据存储系统：rrd(轮询数据库)； SQL(关系型数据库，MySQL/PostgreSQL)； NoSQL(反关系型数据库，Redis/MangoDB)； 时间序列存储。 （3）、主机的四种监控接口：zbx、snmp、jmx、ipmi。 2、常用的开源监控工具 （1）、cacti：强大的【数据展示】功能。 cacti是基于php来编写的； 利用SNMP协议采集样本数据； 利用rrdtool进行数据存储； 报警机制有限。 （2）、nagios：强大的【报警机制】。 nagios不支持历史数据和趋势数据保存； 数据展示功能有限。 （3）、zabbix：集cacti、nagios优点。 强大的数据展示功能； 强大的报警机制； 支持历史数据和趋势数据的存储； 支持脚本实现故障的数据修复。 （4）、ganglia：用于集群监控。 ganglia用于集群监控时，可以实现多台主机的多种集合数据的集中展示。 二、zabbix -----------www.zabbix.com Zabbix功能特点 概述 Zabbix是一个高度集成的网络监控解决方案，一个简单的安装包中提供多样性的功能。 数据收集 可用性和性能检查 支持SNMP（包括主动轮训和被动获取），IPMI，JMX，VMware监控 自定义检查 按照自定义的间隔收集需要的数据 通过server/proxy+agents来执行 灵活的阀值定义 您可以非常灵活的定义问题阈值,称之为触发器,触发器从后端数据库获取参考值 高度可配置化的告警 可根据递增机制，接收方和媒介类型自定义发送告警通知 使用宏变量可以使告警通知更加高效有用 自动相应动作可包含远程命令 实时图表绘制 使用内置图表绘制功能可以将监控项的内容实时绘制成图表 Web监控功能 Zabbix可以追踪模拟鼠标在Web网站上的点击操作，来检查Web的功能和响应时间 丰富的可视化选项 支持创建自定义的图表，一个试图集中展现多个监控项 网络拓扑图 以仪表盘的样式自定义大屏展现和幻灯片轮询播放 报表 监控内容的高级（业务）视图 历史数据存储 数据库数据 可配置历史数据 内置数据管理机制（housekeeping） 配置简单 将被监控对象添加为主机 在数据库中获取主机进行监视 应用模板来监控设备 使用模板 在模板中分组检查 模板可以关联其他模板 网络发现 自动发现网络设备 监控代理自动注册 发现文件系统，网络接口和SNMP OID值 快捷的Web界面 PHP Web前端 可从任何地方访问 你可以定制自己的操作方式 审核日志 Zabbix API Zabbix API为Zabbix 提供了对外的可编程接口，用于批量操作，第三方软件集成和其他目的 权限管理系统 安全用户认证 特定用户可以限制访问特定的视图 功能强大，易于扩展的agent 部署在被监控对象上 支持Linux和Windows 二进制代码 为了性能和更少内存的占用，用C语言编写 便于移植 为复杂环境准备 使用Zabbix proxy代理服务器，使得远程监控更简单 结构 Zabbix由几个主要的软件组件构成，这些组件的功能如下。 Server Zabbix server 是agent程序报告系统可用性、系统完整性和统计数据的核心组件，是所有配置信息、统计信息和操作数据的核心存储器。 数据库存储 所有配置信息和Zabbix收集到的数据都被存储在数据库中。 Web界面 为了从任何地方和任何平台都可以轻松的访问Zabbix, 我们提供基于Web的Zabbix界面。该界面是Zabbix Server的一部分，通常(但不一定)跟Zabbix Server运行在同一台物理机器上。 如果使用SQLite,Zabbix Web界面必须要跟Zab
php MIME，http，html MIME:MIME(Multipurpose Internet Mail Extensions)多用途互联网邮件扩展类型 浏览器：插件，或是调用外在程序。 动态网站：根据客户端请求，服务器调用外界程序运行脚本生成文档在返回给客户端。返回不同结果。根据客户端不同请求做出不同响应。 客户端动态：服务器端开发一段程序，这段程序的源程序下载到客户端本地并且在客户端本地的运行环境中运行。并通过浏览器将执行结果显示出来。 防止恶意代码，一般不使用。Activex,apple
image.png 当网站业务规模和访问量的逐步增大，原本由单台服务器、单个域名组成的网站架构可能已经无法满足发展需要 此时会购买更多的服务器，并且以频道化的方式启用多个二级子域名，然后根据业务功能将网站分别部署在独立的服务器上，或者通过负载均衡技术让多个频道共享一组服务器 如果我们把网站程序分别部署到多台服务器上，而且独立为几个二级域名，由于Session存在实现原理上的局限性（例如PHP中Session默认以文件的形式保存在本地服务器的硬盘上），这使得网站用户不得不经常在几个频道间来回输入用户名和密码
以上分析可知，我们要学习动态资源，必须要先学习静态资源。静态资源三剑客，各自的作用：
例子：<!ELEMENT 元素名 PCDATA> <元素名>(中间这一部分也是可以被解析的)</元素名>
RPC（Remote Procedure Call Protocol）——远程过程调用协议，它是一种通过网络从远程计算机程序上请求服务，而不需要了解底层网络技术的协议。
问题描述： 此前测试服务器负载偏高，其他各项性能指标都正常，未找到原因。提阿里云工单回复正常。 当日CPU频繁达到100%，负载几十，造成服务器瘫痪。
在本文中，我将向您展示如何使用新版本的MySQL(5.7+)，以及如何更容易地解决 MySQL内存分配中出现的问题。
[toc] 背景 大型互联网网站及应用是随着业务的逐步发展与不断创新慢慢演化而成的。在这个进化过程中，会有一些通用的问题需要解决，也会有一些常规的中间件需要构建，本文将对这个演化过程中涉及的分布式技术
Vmstat是一个很全面的性能分析工具，可以观察到系统的进程状态、内存使用、虚拟内存使用、磁盘的IO、中断、上下文切换、CPU使用等。系统性能分析工具中，使用最多的是这个，除了sysstat工具包外，这个工具能查看的系统资源最多。
就先把后面阶段的学习提前规划了一下，遇到了几个安装环境时出现的问题，分享一下吧！
最新将生产环境的服务器版本统一升级了一下，其中有一台（4H/8G）近两天天天CPU使用率报警（阀值>95%，探测周期60s，触发频率6次），而且load acerage也居高不下，检查了各个系统应用软件的资源使用都没有问题，也将一些可能导致CPU使用率高的软件stop掉，报警依旧。
虽然明月已经放弃使用 WordPress 本地缓存插件很久了（可参考【我为什么放弃了缓存插件？】），但是考虑到很多新手站长们依然在使用着虚拟主机服务器，所以今天明月还是将手里两个不错的 WordPress 本地缓存插件分享给大家，都是以前明月使用过和评测过的，稳定性和安全性还都是很不错的，比较适合虚拟主机的 WordPress 站点来使用，可以有效的提高站点访问速度。
概念 CDN全称ContentDeliveryNetwork。即内容分发网络。其基本思路是尽可能避开互联网上有可能影响数据传输速度和稳定性的瓶颈和环节，使内容传输更快、更稳定。通过在网络各处放置节点服务器所构成的在现有的互联网基础之上的一层智能虚拟网络，CDN系统能够实时地根据网络流量和各节点的连接、负载状况以及到用户的距离和响应时间等综合信息将用户的请求重新导向离用户最近的服务节点上。 高防CDN旨在为网站做加速的同时，防护DDoS，CC，Web应用攻击，恶意刷流量，恶意爬虫等危害网站的行为，形成一张分布式的安全加速网络。 高防IP产品是针对解决互联网服务器（无防护能力的主机）在遭受大流量的DDoS攻击后导致服务不可用的情况，推出的付费增值服务。你可以通过配置DDoS高防IP，将攻击流量引流到高防IP，确保源站的稳定可靠。 在购买DDoS高防IP服务后，把域名解析到高防IP（Web业务把域名解析指向高防IP；非Web业务，把业务IP替换成高防IP），并配置源站IP。所有公网流量都经过高防IP机房，通过端口协议转发的方式将访问流量通过高防IP转发到源站IP，同时将恶意攻击流量在高防IP上进行清洗过滤后将正常流量返回给源站IP，从而确保源站IP稳定访问。配置DDoS高防IP服务后，当站点遭受DDoS攻击时，无需额外做流量牵引和回注。
晚上我登陆网站时发现后台输入账号密码后一直现在在登陆中，我以为是账号密码不对，重新输入后还是同样的问题，网站可以正常的浏览，可后台就是无法登陆，一直显示登陆中，我以为是插件问题造成的，登陆服务器进行查看发现网站负载率一直是在80-100%之间，网站卡的很，至此问题找出来了，具体什么是负载率，咱接着往下看。
Redis 是由意大利开发者 Salvatore Sanfilippo（antirez）通过 C 语言开发的、基于内存的、可持久化的开源键值对存储数据库（英文全称是 REmote DIctionary Server，中文译作远程字典服务器），由于其简单易用、高性能、支持丰富的数据结构和原子操作，已逐渐成为目前互联网最流行的存储中间件解决方案，被广泛应用于缓存、NoSQL、消息队列等技术领域。
现在有很多传统虚拟主机用户和物理服务器用户都在慢慢的将网站迁移至腾讯云服务器，但是有很多用户不懂怎么给腾讯云服务器安装网站程序运行所必要的环境，同时又没有相应的技术支持人员，而花钱请人安装环境有担心安全和成本过高，这就导致了部分用户在网站迁移至云服务器的时候有些犹豫。
slopShell是一款功能强大的PHP Webshell，有了它，你就不需要再用到其他Webshell了。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
