一、Nginx 空主机头禁止 如果 Nginx 配置了空主机头，那么任意域名解析指向到服务器IP，都可以访问站点，为了防止域名解析恶意指向主机，可以将 Nginx 默认的空主机头禁止，方法是通过修改 Nginx 的主配置文件 nginx.conf ，使其主机头返回错误信息 500
宝塔服务器管理是现在非常流行的一款免费的Linux管理应用，作为不想做过多运维操作的可以使用这个可视化操作
在Apache环境中，文件目录列表默认是允许的，也就是说，如果没有默认索引文件，如index.php或index.html，那么访问域名时则会显示目录的内容。在网站上线之后，不建议启用目录浏览，因为它可能导致网站信息泄漏，并帮助攻击者确定网站或Web应用程序是如何构造的，并增加攻击面。本文简单说说在Ubuntu20.04系统中测试和禁用Apache目录浏览。
在Apache中配置禁止目录访问，即禁止游览列出的目录/文件列表的方法 访问网站目录时Apache默认配置为可列出目录/文件列表，即当你访问http://localhost时会列出相关的目录和文件列表，我们可以通过修改Apache配置文件httpd.conf来实现禁止列出目录/文件列表，方法如下： 1、打开apache配置文件httpd.conf 2、找到 <Directory /> Options Indexes AllowOverride
今天在给 onepoint 更换 js 库的 cdn 时突然想起来，腾讯云每个月还送我 10g 的 cdn 流量包。博客里面有时候会包含很多图片，正好可以把这闲置的资源用上了。
很多时候，大中型网站为了静态资源分布式部署，加快访问速度，减轻主站压力，会把静态资源（例如字体文件、图片等）放在独立服务器或者CDN上，并且使用独立的资源域名（例如res.test.com）
http2.4.1 以后不再需要NameVirtualHost以及不再支持ServerName * 这种写法。
以前经常用前端的一段js代码，但防君子不防小人，别人还是可以通过禁用js，或动态修改js来引用。
学apache 就必须要学下htaccess。这个在网站比较小的情况下看不出来，但是当网站结构复杂的时候，我们就需要对访问进来的域名进行分类处理了，比如构建二级域名、设置301重定向、404禁止访问的显示界面，设置权限、防止盗链等一系列工作，都需要有.htaccess文件的处理。
当下，各种黑客工具包，安全工具包随处都是，使得网络攻击成本大大降低，随便一个小白，找个工具，一通乱扫，都能轻松入侵一台安全防护不高的服务器。
信息收集对于渗透测试前期来说是非常重要的，因为只有我们掌握了目标网站或目标主机足够多的信息之后，我们才能更好地对其进行漏洞检测。正所谓，知己知彼百战百胜！
为了实现网站的SEO优化，或者实现用户需求，会用到一些伪静态规则，下面整理了一些Apache服务器常用的 .htaccess 伪静态规则。 第一、强制www域名301跳转 RewriteEngine on RewriteCond %{HTTP_HOST} ^w3h5\.com [NC] RewriteRule ^(.*)$ https://www.w3h5.com/$1 [L,R=301,NC] 我们将域名替换成自己的域名即可实现非WWW跳转到WWW域名。 第二、强制非WWW域名301跳转 Rewrite
1.httpd.conf中配置过网站根目录 该配置文件的250行左右，修改了根目录
在一台CentOS 7上搭建Apache网站后，一般都是允许所有人访问的，那么可能会有一些特殊情况，需要对访问网站的人进行限制，出于这种情况，Apache可以通过Require配置项，来对客户端进行一些访问限制，可以基于IP地址、网段、主机名或域名。使用名称“all”时表示任意地址。
原来几个网站是放在win服务器上的，但是配置太差，导致卡卡卡卡卡。所以今天索性就换到linux上来了。 ## tb.onm.me <virtualhost *:80> DocumentRoot /xxx/web/tieba ServerName tb.onm.me DirectoryIndex index.html index.php CustomLog "|/usr/local/apache2/bin/rotatelogs -l /usr/local/apache2/
众所周知，绝大多数网站都会有一个首选域名，从用户体验考虑，通常站长们还会另外解析一个域名，并设置 301 重定向。例如，用户未输入 www 的时候，仍然可以访问到我们的网站，就像访问 http://b
我在其中发现了多个内部域名，最后通过 这些内部域名，结合接下来要讲的方法， 成功发现了多个漏洞。
在Apache中，访问：liuwx.php.360会从右往左识别后缀，存在解析漏洞的时候，会从右往左识别哪个能解析，360是不能被解析，然后往左识别到php就识别能解析，这就是Apache的解析漏洞
在linux系统下使用nginx作为web应用服务，用来提升网站访问速度的经验已五年多了，今天在此对nginx的使用做一简单总结。 一、nginx服务简介 Nginx是一个高性能的HTTP和反向代理服务器，也是一个 IMAP/POP3/SMTP代理服务器。Nginx 已经因为它的稳定性、丰富的功能集、示例配置文件和低系统资源的消耗而闻名了。 使用 Nginx 前必须了解的事项： 1）目前官方 Nginx 并不支持 Windows，您只能在包括 Linux、UNIX、BSD 系统下安装和使用； 2）Nginx
本文档由 Websoft9公司提供，用于指导用户学习 Joomla 的安装部署等基本操作。
在网站全站HTTPS后，如果用户手动敲入网站的HTTP地址，或者从其它地方点击了网站的HTTP链接，通常依赖于服务端301/302跳转才能使用HTTPS服务。而第一次的HTTP请求就有可能被劫持，导致请求无法到达服务器，从而构成HTTPS降级劫持。这个问题目前可以通过HSTS(HTTP Strict Transport Security，RFC6797)来解决。 在网站全站HTTPS后，如果用户手动敲入网站的HTTP地址，或者从其它地方点击了网站的HTTP链接，通常依赖于服务端301/302跳转才能使用HT
之前我用 lnmp.org 的一键安装包来配置 web 服务器，一直懒得去动，对 nginx 的配置也是一知半解。买了新的 vps 之后需要重新配置服务器环境，趁这个机会让我手动一个个安装它们并且熟悉熟悉吧。
Unix、Linux系统或者是任何版本的Apache Web服务器都是支持.htaccess的，但是有的主机服务商可能不允许你自定义自己的.htaccess文件。
今天遇到网站之前的url被百度搜索引擎抓取，需要在服务中进行301强制跳转，（如访问：www.baidu.com/kenni-1,www.baidu.com/kenni-1/，两个统一跳转到www.b
在 Web 服务器做出响应时，为了提高安全性，在 HTTP 响应头中可以使用的各种响应头字段。 1、X-Frame-Options 该响应头中用于控制是否在浏览器中显示 frame 或 iframe 中指定的页面，主要用来防止 Clickjacking （点击劫持）攻击。 X-Frame-Options: SAMEORIGIN DENY : 禁止显示 frame 内的页面（即使是同一网站内的页面） SAMEORIGIN: 允许在 frame 内显示来自同一网站的页面，禁止显示来自其他网站的页面 ALLOW-
为了更好地控制对网站资源的访问。可以为特定的网站目录添加访问授权。主要分为客户机地址限制和用户授权限制，这两种访问控制方式都应用于httpd.conf配置文件中的目录区域范围内。
今天头脑一热到360安全检测那里去为自己的网站进行安全扫描了一番。上次扫描还是一年前，当初扫描一个网站是 94 分，那时候还不懂代码，就这么挂着，被360 公开着。今天的扫描发现了两个漏洞，评分 91 。为了光鲜的 100 ，Jeff决定今个儿决定要解决了这些漏洞。 主题 index.php 文件的页面异常导致本地路径泄漏的漏洞修补 其中一个漏洞是页面异常导致本地路径泄漏，就是打开 http://域名/wp-content/themes/主题/ 这个路径会跳出个错误提示，然后这个提示就会泄露你的服务器路径。
一、真实IP：核心点在CDN上，CDN的存在是为了使用户的网络体验效果更佳，CDN是可以存放一些动态/静态页面的，但是价钱也会更高，同时可以部署WAF等，寻找的真实IP的思路就是绕过CDN，那么绕过CDN又有很多种方式： step1确定是否存在CDN，很简单，使用不同地方的 ping 服务，查看对应 IP 地址是否唯一，如果不唯一则极有可能是使用了CDN。 ping测试网站： 超级ping 爱站ping 国外ping有些网站不会在国外设置CDN 全球ping step2 绕过方式 1、查看网站的DNS历史解析记录，然后IP反查看能否解析出域名。也许目标很久之前没有使用CDN，所以可能会存在使用 CDN 前的记录 。 DNS解析 2、可能只会对主站或者流量大的子站点做了 CDN，而很多小站子站点又跟主站在同一台服务器或者同一个C段内，此时就可以通过查询子域名对应的 IP 来辅助查找网站的真实IP。 3、www有cdn，无3w没有cdn。 4、邮件服务器，通过对目标网站注册或者RSS订阅，查看邮件，寻找邮件头中的邮件服务器IP，ping这个邮件服务器域名，可以获得真实IP。 5、Nslookup查询看域名的NS记录、MX记录、TXT记录等很可能指向真实IP或C段服务器。
一、安装Apache程序,一般有三种安装方式： 1.直接网络安装； 2.下载rpm包，上传至服务器进行安装； 3.通过原代码编译安装；
为了更好地控制对网站资源的访问，所以需要为特定的网站目录添加访问授权。 客户机地址限制： 通过 Require 配置项，可以根据主机的主机名或IP地址来决定是否允许客户端访问，在 httpd服务器的主配置文件的 <Location>、<Directory>、<Files>、<Limit> 配置段中均可以使用 Require 配置项来控制客户端的访问。 常用格式如下： Require all granted ：表示允许所有主机访问 Require all denied ：表示拒绝所有主机访问 Require local ：表示仅允许本地主机访问 Require [not] host <主机名或域名列表> ：表示允许或拒绝指定主机或域访问 Require [not] IP <IP地址或网段列表> ：表示允许或拒绝制定IP或网段访问 具体用法： 路径：/usr/local/httpd/conf/httpd.conf 1、允许所有
https://www.cnblogs.com/wangyuyang1016/p/10421073.html
一般我们使用的主机每月都有固定的流量，如果当月额度用完服务器可能会暂停，有些是占用太大的流量会影响网站的访问速度。所以，我们在有必要的前提下可以设置服务器的图片或者其他静态资源防盗链。
由于HTTP是一个可扩展的协议，各浏览器厂商都率先推出了有效的头部，来阻止漏洞利用或提高利用漏洞的难度。了解它们是什么，掌握如何应用，可以提高系统的安全性。 下面就简单介绍一下这些安全头的含义以及效果。
宝塔目前主要是安装到服务器上，比如win版本的目前不支持win10这类的系统，所以无法安装的，所以一般建议选择linux系统的服务器进行安装。
宝塔目前主要是安装到服务器上，比如win版本的目前不支持win10这类的系统，所以无法安装的，所以一般建议选择linux centos系统的服务器进行安装。
答：信息搜集：whois、网站源IP、旁站、C段网站、服务器系统版本、容器版本、程序版本、数据库类型、二级域名、防火墙......
作为最流行的Web服务器，Apache Server提供了较好的安全特性，使其能够应对可能的安全威胁和信息泄漏。 Apache 服务器的安全特性 1、 采用选择性访问控制和强制性访问控制的安全策略 从Apache 或Web的角度来讲，选择性访问控制DAC（Discretionary Access Control）仍是基于用户名和密码的，强制性访问控制MAC（Mandatory Access Control）则是依据发出请求的客户端的IP地址或所在的域号来进行界定的。对于DAC方式，如输入错误，那么用户还有机会更正，从新输入正确的的密码；如果用户通过不了MAC关卡，那么用户将被禁止做进一步的操作，除非服务器作出安全策略调整，否则用户的任何努力都将无济于事。 ２、Apache 的安全模块 Apache 的一个优势便是其灵活的模块结构，其设计思想也是围绕模块（Modules）概念而展开的。安全模块是Apache Server中的极其重要的组成部分。这些安全模块负责提供Apache Server的访问控制和认证、授权等一系列至关重要的安全服务。 mod_access模块能够根据访问者的IP地址（或域名，主机名等）来控制对Apache服务器的访问，称之为基于主机的访问控制。 mod_auth模块用来控制用户和组的认证授权（Authentication）。用户名和口令存于纯文本文件中。mod_auth_db和mod_auth_dbm模块则分别将用户信息（如名称、组属和口令等）存于Berkeley-DB及DBM型的小型数据库中，便于管理及提高应用效率。 mod_auth_digest模块则采用MD5数字签名的方式来进行用户的认证，但它相应的需要客户端的支持。 mod_auth_anon模块的功能和mod_auth的功能类似，只是它允许匿名登录，将用户输入的E-mail地址作为口令。 SSL（Secure Socket Lager），被Apache所支持的安全套接字层协议，提供Internet上安全交易服务，如电子商务中的一项安全措施。通过对通讯字节流的加密来防止敏感信息的泄漏。但是，Apache的这种支持是建立在对Apache的API扩展来实现的，相当于一个外部模块，通过与第三方程序的结合提供安全的网上交易支持。 Apache服务器的安全配置 Apache具有灵活的设置，所有Apache的安全特性都要经过周密的设计与规划，进行认真地配置才能够实现。Apache服务器的安全配置包括很多层面，有运行环境、认证与授权设置等。Apache的安装配置和运行示例如下： 1、以Nobody用户运行 一般情况下，Apache是由Root 来安装和运行的。如果Apache Server进程具有Root用户特权，那么它将给系统的安全构成很大的威胁，应确保Apache Server进程以最可能低的权限用户来运行。通过修改httpd.conf文件中的下列选项，以Nobody用户运行Apache 达到相对安全的目的。 User nobody Group# -1 2、ServerRoot目录的权限 为了确保所有的配置是适当的和安全的，需要严格控制Apache 主目录的访问权限，使非超级用户不能修改该目录中的内容。Apache 的主目录对应于Apache Server配置文件httpd.conf的Server Root控制项中，应为： Server Root /usr/local/apache 3、SSI的配置 在配置文件access.conf 或httpd.conf中的确Options指令处加入Includes NO EXEC选项，用以禁用Apache Server 中的执行功能。避免用户直接执行Apache 服务器中的执行程序，而造成服务器系统的公开化。 Options Includes Noexec 4、阻止用户修改系统设置 在Apache 服务器的配置文件中进行以下的设置，阻止用户建立、修改 .htaccess文件，防止用户超越能定义的系统安全特性。 AllowOveride None Options None Allow from all 然后再分别对特定的目录进行适当的配置。 5、改变Apache 服务器的确省访问特性 Apache 的默认设置只能保障一定程度的安全，如果服务器能够通过正常的映射规则找到文件，那么客户端便会获取该文件，如 http://loc
===========================.htaccess文件配置笔记=========================== .htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过对.htaccess文件进行设置，可以帮我们实现：网页301重定向、自定义400/403/404/500错误页面、改变文件扩展名、允许/阻止指定IP用户访问、禁止目录列表、配置默认文档等功能，可以说是功能非常强大。
.htaccess文件是Apache服务器中最常用的一个配置文件，它负责相关目录下的网页配置。通过h网络
代理就是通过一个特殊的网络服务去访问另一网络服务的一种间接访问方式。像我们不能直接访问国外的网站，只能使用V**，就是使用了代理。
匿名留言板表白墙小程序校园树洞带后台，此源码为某站购买免费分享给大家，无后门无广告，希望大家不要二改和二次售卖！源码内有搭建视频和配置微信小程序公众号的办法
上一节讲到了渗透测试中xss跨站攻击检测方法和防护,这一节也是关于跨站攻击的另一个手法CSRF，很多客户找到我们Sinesafe想要了解更多的跨站攻击检测方法以及防御此类攻击的办法,想要让网站的安全性更加坚固,对此提醒大家渗透测试网站必须要拿到授权才能测试哦！
删掉bin中的class之后，出现cant find the main class，解决：执行clean project->clean
apache一些样例文件没有删除，可能存在cookie、session伪造，进行后台登录操作
Apache HTTP Server是Apache软件基金会的一个开源的网页服务器，可以运行在几乎所有广泛使用的计算机平台上，由于其跨平台和安全性被广泛使用，是目前最流行的Web服务器端软件之一。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
