Linux

Linux设置只能特定用户su到root

by Orange

对于服务器来说,安全永远都是放在首位的,今天记录下只允许特定用户ssh到服务器,这样子可以防止某些人对你的服务器扫密码.禁止rootssh登录,只能让这个普通用户su到root,下面看操作
系统centos5

新建用户test,并设置密码
[root@vmunix ~]# useradd test
[root@vmunix ~]# passwd test
加入wheel组
[root@vmunix ~]# usermod -G wheel test
编辑pam的su设置
[root@vmunix ~]#vi /etc/pam.d/su

去掉auth required pam_wheel.so use_uid 的#注释
在密码策略里进行设置,追加参数到文件末尾

[root@vmunix ~]# echo “SU_WHEEL_ONLY yes” >> /etc/login.defs
禁止root登录
[root@vmunix ~]#vi /etc/ssh/sshd_config
PermitRootLogin no (把后面的yes改为no)

重启sshd服务
[root@vmunix ~]#services sshd restart
退出root,可以验证下,使用root登录失败,使用test登录su到root,OK!

————————–
另外一种方法看着很方便,但是wesley还没有试验,可以借鉴下
只能允许单个用户登录
编辑/etc/ssh/sshd_config
AllowUsers sshuser1 sshuser2
只能允许某个组登录
AllowGroups sshgroup

限制用户进程CPU和内存占用率的SHELL脚本

by Orange

限制进程CPU占用率的问题，给出了一个shell脚本代码如下：

renice +10 `ps aux | awk ‘{ if ($3 > 0.8 && id -u $1 > 500) print $2}’`

其中用到ps获取进程信息，其实

ps中%CPU一列的意义是进程实际占有CPU时间和它存活时间的比值，这个值能反应进程对CPU的消耗，但不能准确反应进程所占CPU时间占整个系统CPU的百分比。

而top输出中的%CPU这一列正是进程所占CPU时间占整个系统CPU的百分比，用于限制进程CPU占用率更加合理，同时%MEM一列还反应了进程占用内存的百分比，可以用于限制进程内存占用率。

shell脚本代码如下：

#!/bin/sh

PIDS=`top -bn 1 | grep “^ *[1-9]” | awk ‘{ if($9 > 50 || $10 > 25 && id -u $2 > 500) print $1}’`

for PID in $PIDS

do

renice +10 $PID

echo “renice +10 $PID”

done

可以将这个脚本放到cron中运行，比如每分钟检查一次，只需以root身份添加crontab项：

#crontab -e

* * * * * limit.sh

以后每个一分钟就会检查一次，调整占用50%以上CPU或25%内存的进程的nice值，从而使这样的进程优先级变低，被调度的机会减少，同时会向root发邮件提示该进程被调整过。

不过，限制内存使用最好还是用PAM，RedHat可以在/etc/security/limits.conf中设置。

Linux VPS备份网站数据到Dropbox

by Orange

之前本来想用FTP来进行备份数据的，但是都没有什么长期的FTP服务器，于是就想了用网盘来备份网站的数据。

国外的网盘推荐就是使用Dropbox，信誉不错的，做了基本任务就2G多的空间，可以自己刷好友来扩大容量！

于是乎，在网上搜了搜，转载过来和大家分享！

 

准备工作

如果没有Dropbox的用户可以使用后面的推荐码进行注册，http://db.tt/yV9WSxh ，不遮遮掩掩，就是推广链接！你好我好嘛~

注册完后，前往Apps点击Create an app，需要验证邮箱（不必多说了吧），填好基本信息，在Access的选项中选择Full Dropbox

Snip20130129_1

如上图所示！

第二步就是下载Dropbox-Uploader，下载地址：https://github.com/andreafabrizi/Dropbox-Uploader

下载之后，上传至/root/目录下，不建议改名字！

 

开始配置

chmod +x dropbox_uploader.sh #赋予权限
./dropbox_uploader.sh info #开始绑定APP

这里他会让你输入App key以及App secret，在刚刚我们创造的APP那里有！

然后他会询问你是App folder 还是Full Dropbox，按照刚刚我们上面的说明，按f，然后回车！

然后他会给出一个地址，自己复制下来用IE打开，其实就是授权给这个APP！

授权好了，回到SSH上，按下回车。

如果不出意外的话，我们就配置好了，可以用下面的代码测试！

./dropbox_uploader.sh upload /etc/passwd /backup/passwd.old

回显DONE就说明配置成功了！

 

关键代码

#!/bin/bash
DROPBOX_DIR="/backup/$(date +%Y-%m-%d)" #Dropbox上的备份目录
MYSQL_USER="root" #数据库帐号
MYSQL_PASS="123456" #数据库密码
YM_DATA=/etc/nginx #nginx配置目录
BACK_DATA=/home/backup #本地备份文件存放目录，手动创建
DATA=/home/www #网站数据存放目录

#定义数据库的名字和旧数据库的名字
DataBakName=Data_$(date +"%Y%m%d").tar.gz
WebBakName=Web_$(date +%Y%m%d).tar.gz
YMName=YM_$(date +%Y%m%d).tar.gz
OldData=Data_$(date -d -6day +"%Y%m%d").tar.gz
OldWeb=Web_$(date -d -6day +"%Y%m%d").tar.gz
OldYM=YM_$(date -d -6day +"%Y%m%d").tar.gz

#定义Dropbox旧数据的名字（30天前）
Old_DROPBOX_DIR=/backup/$(date -d -30day +%Y-%m-%d) #Dropbox上的备份目录

#删除本地6天前的数据
rm -rf $BACK_DATA/$OldData $BACK_DATA/$OldWeb $BACK_DATA/$OldYM

cd $BACK_DATA

#使用命令导出SQL数据库,并且按数据库分个压缩
for db in `mysql -u$MYSQL_USER -p$MYSQL_PASS -B -N -e 'SHOW DATABASES' | xargs`; do
    (mysqldump -u$MYSQL_USER -p$MYSQL_PASS ${db} | gzip -9 - > ${db}.sql.gz)
done
#压缩数据库文件合并为一个压缩文件
tar zcf $BACK_DATA/$DataBakName $BACK_DATA/*.sql.gz
rm -rf $BACK_DATA/*.sql.gz

#压缩网站数据
cd $DATA
tar zcf $BACK_DATA/$WebBakName ./*

#压缩域名配置数据
cd $YM_DATA
tar zcf $BACK_DATA/$YMName ./*

cd ~
#开始上传
./dropbox_uploader.sh upload $BACK_DATA/$DataBakName $DROPBOX_DIR/$DataBakName
./dropbox_uploader.sh upload $BACK_DATA/$WebBakName $DROPBOX_DIR/$WebBakName
./dropbox_uploader.sh upload $BACK_DATA/$YMName $DROPBOX_DIR/$YMName

#开始删除远程30天前的文件
./dropbox_uploader.sh delete $Old_DROPBOX_DIR/

echo -e "Thank you! all down"

按照说明自己配置一下，如果需要定时备份的请麻烦自己设置！

还需要赋予脚本运行的权限

chmod +x backup.sh #赋予权限

注意：/home/backup/这个目录需要自己创建，不然会报错！

运行的时候就输入下面的代码即可！

./backup.sh

最后

没有最后了，当你做完

你也可以按照自己的需要设置，不需要的功能自己#了他就可以了！

祝你一路顺利！我的vps就是一路顺利过来了~

 

top命令详解

by Orange

top命令是Linux下常用的性能分析工具，能够实时显示系统中各个进程的资源占用状况，类似于Windows的任务管理器。

下面详细介绍它的使用方法。

top - 01:06:48 up  1:22,  1 user,  load average:    0.06, 0.60,  0.48
Tasks:  29 total,   1 running,  28 sleeping,    0 stopped,   0  zombie
        Cpu(s):  0.3% us,  1.0% sy,  0.0% ni, 98.7%     id,  0.0% wa,  0.0%  hi,  0.0% si
        Mem:    191272k total,   173656k used,      17616k free,    22052k  buffers
        Swap:   192772k total,        0k used,      192772k free,   123988k  cached

        PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM     TIME+  COMMAND
        1379 root      16   0  7976 2456 1980 S  0.7  1.3   0:11.03  sshd
        14704 root      16   0  2128  980  796 R  0.7  0.5   0:02.72 top
        1 root      16   0  1992  632  544 S  0.0  0.3   0:00.90 init
        2 root       34  19     0    0    0 S  0.0  0.0   0:00.00 ksoftirqd/0
        3 root       RT   0     0    0    0 S  0.0  0.0   0:00.00  watchdog/0

统计信息区前五行是系统整体的统计信息。第一行是任务队列信息，同 uptime 命令的执行结果。其内容如下：

01:06:48 当前时间 up 1:22 系统运行时间，格式为时:分 1 user 当前登录用户数 load average: 0.06, 0.60, 0.48 系统负载，即任务队列的平均长度。 三个数值分别为 1分钟、5分钟、15分钟前到现在的平均值。

第二、三行为进程和CPU的信息。当有多个CPU时，这些内容可能会超过两行。内容如下：

Tasks: 29 total 进程总数
1 running   正在运行的进程数
28 sleeping 睡眠的进程数
0 stopped   停止的进程数
0 zombie    僵尸进程数
Cpu(s): 0.3% us 用户空间占用CPU百分比
1.0% sy 内核空间占用CPU百分比
0.0% ni 用户进程空间内改变过优先级的进程占用CPU百分比
98.7% id    空闲CPU百分比
0.0% wa 等待输入输出的CPU时间百分比
0.0% hi 
0.0% si

最后两行为内存信息。内容如下：

Mem: 191272k total  物理内存总量
173656k used    使用的物理内存总量
17616k free 空闲内存总量
22052k buffers  用作内核缓存的内存量
Swap: 192772k total 交换区总量
0k used 使用的交换区总量
192772k free    空闲交换区总量
123988k cached  缓冲的交换区总量。
内存中的内容被换出到交换区，而后又被换入到内存，但使用过的交换区尚未被覆盖，该数值即为这些内容已存在于内存中的交换区的大小。
相应的内存再次被换出时可不必再对交换区写入。
进程信息区统计信息区域的下方显示了各个进程的详细信息。首先来认识一下各列的含义。
序号  列名  含义
a   PID 进程id
b   PPID    父进程id
c   RUSER   Real user name
d   UID 进程所有者的用户id
e   USER    进程所有者的用户名
f   GROUP   进程所有者的组名
g   TTY 启动进程的终端名。不是从终端启动的进程则显示为 
h   PR  优先级
i   NI  nice值。负值表示高优先级，正值表示低优先级
j   P   最后使用的CPU，仅在多CPU环境下有意义
k   %CPU    上次更新到现在的CPU时间占用百分比
l   TIME    进程使用的CPU时间总计，单位秒
m   TIME+   进程使用的CPU时间总计，单位1/100秒
n   %MEM    进程使用的物理内存百分比
o   VIRT    进程使用的虚拟内存总量，单位kb。VIRT=SWAP+RES
p   SWAP    进程使用的虚拟内存中，被换出的大小，单位kb。
q   RES 进程使用的、未被换出的物理内存大小，单位kb。RES=CODE +DATA
r   CODE    可执行代码占用的物理内存大小，单位kb
s   DATA    可执行代码以外的部分(数据段+栈)占用的物理内存大小，单位kb
t   SHR 共享内存大小，单位kb
u   nFLT    页面错误次数
v   nDRT    最后一次写入到现在，被修改过的页面数。
w   S   进程状态。
        D=不可中断的睡眠状态
        R=运行
        S=睡眠
        T=跟踪/停止
        Z=僵尸进程
x   COMMAND 命令名/命令行
y   WCHAN   若该进程在睡眠，则显示睡眠中的系统函数名
z   Flags   任务标志，参考 sched.h

默认情况下仅显示比较重要的 PID、USER、PR、NI、VIRT、RES、SHR、S、%CPU、%MEM、TIME+、COMMAND 列。可以通过下面的快捷键来更改显示内容。

更改显示内容通过 f 键可以选择显示的内容。按 f 键之后会显示列的列表，按 a-z 即可显示或隐藏对应的列，最后按回车键确定。

按 o 键可以改变列的显示顺序。按小写的 a-z 可以将相应的列向右移动，而大写的 A-Z 可以将相应的列向左移动。最后按回车键确定。

按大写的 F 或 O 键，然后按 a-z 可以将进程按照相应的列进行排序。而大写的 R 键可以将当前的排序倒转。

命令使用

1．  工具（命令）名称
top
2．工具（命令）作用
显示系统当前的进程和其他状况；top是一个动态显示过程,即可以通过   用户按键来不断刷新当前状态.如果在前台执行该命令,它将独占前台,直   到用户终止该程序为止.比较准确的说,top命令提供了实时的对系统处理  ·器的状态监视.它将显示系统中CPU最“敏感”的任务列表.该命令可以按 CPU使用.内存使用和执行时间对任务进行排序；而且该命令的很多特性都可以通过交互式命令或者在个人定制文件中进行设定. 
3．环境设置
在Linux下使用。
4．使用方法
4．1使用格式
top [-] [d] [p] [q] [c] [C] [S]    [n] 
4．2参数说明
d  指定每两次屏幕信息刷新之间的时间间隔。当然用户可以使用s交互命令来改变之。
p  通过指定监控进程ID来仅仅监控某个进程的状态。
q该选项将使top没有任何延迟的进行刷新。如果调用程序有超级用户权限，那么top将以尽可能高的优先级运行。
S 指定累计模式
s  使top命令在安全模式中运行。这将去除交互命令所带来的潜在危险。
i  使top不显示任何闲置或者僵死进程。
c  显示整个命令行而不只是显示命令名

4.3其他

下面介绍在top命令执行过程中可以使用的一些交互命令。

从使用角度来看，熟练的掌握这些命令比掌握选项还重要一些。这些命令都是单字母的，如果在命令行选项中使用了s选项，则可能其中一些命令会被屏蔽掉。

Ctrl+L 擦除并且重写屏幕。

h或者?  显示帮助画面，给出一些简短的命令总结说明。

k  终止一个进程。系统将提示用户输入需要终止的进程PID，以及需要发送给该进程什么样的信号。

一般的终止进程可以使用15信号；如果不能正常结束那就使用信号9强制结束该进程。默认值是信号15。在安全模式中此命令被屏蔽。

i 忽略闲置和僵死进程。这是一个开关式命令。
q  退出程序。
r  重新安排一个进程的优先级别。系统提示用户输入需要改变的进程PID以及需要设置的进程优先级值。输入一个正值将使优先级降低，反之则可以使该进程拥有更高的优先权。默认值是10。
S 切换到累计模式。
s  改变两次刷新之间的延迟时间。系统将提示用户输入新的时间，单位为s。如果有小数，就换算成m s。输入0值则系统将不断刷新，默认值是5  s。需要注意的是如果设置太小的时间，很可能会引起不断刷新，从而根本来不及看清显示的情况，而且系统负载也会大大增加。
f或者F 从当前显示中添加或者删除项目。
o或者O  改变显示项目的顺序。
l 切换显示平均负载和启动时间信息。
m 切换显示内存信息。
t  切换显示进程和CPU状态信息。
c  切换显示命令名称和完整命令行。
M  根据驻留内存大小进行排序。
P 根据CPU使用百分比大小进行排序。
T 根据时间/累计时间进行排序。
W  将当前设置写入~/.toprc文件中。这是写top配置文件的推荐方法。

 

Kloxo面板后台SSL证书替换

by Orange

最近在自己的服务器上搭建Kloxo面板造福大众，然后遇到了一点问题，就是Kloxo面板的后台7777端口访问的时候总是会提示证书是由不受信任的颁发机构颁发。做完一个重度强迫症患者（误），这是绝对不能忍的！

但是找来找去一直没有发现相关的文章。看了大家对不常用的东西一点都不在乎= =|||于是只好自己动手。

首先在你的命令行中输入：

ps -aux|grep kloxo.httpd

然后你会看到类似这样的显示：

lxlabs   16186  0.0  0.2   7256  3544 ?        S    04:07   0:01 /usr/local/lxlabs/ext/lxlighttpd/sbin/kloxo.httpd -f /usr/local/lxlabs/kloxo/file/lighttpd.conf
root     24325  0.0  0.0   3188   796 pts/0    S+   17:26   0:00 grep kloxo.httpd

其中/usr/local/lxlabs/kloxo/file/lighttpd.conf就是Kloxo控制面板的Lighttpd配置文件。（找到它真不容易啊。。。在Apache那绕了一个小时的弯，突然灵光一闪看了下进程列表然后哭了。。。这货居然用的是独立的一套Lighttpd。。。）

打开拉到最下方，能看到：

$SERVER["socket"] == ":7777" {
        server.document-root = "/usr/local/lxlabs/kloxo/httpdocs/"
        ssl.engine = "enable"
        ssl.pemfile             = "/usr/local/lxlabs/kloxo/etc/program.pem"
        ssl.ca-file             = "/usr/local/lxlabs/kloxo/etc/program.ca"
        ssl.use-sslv2 = "disable"
 }

其中ssl.pemfile和ssl.ca-file就是我们需要修改的内容所指的文件就是我们要修改的内容。这里指向的是Kloxo自带的一个证书文件。现在我们修改这两项，将其指定到我们自己的证书文件。注意，ssl.pemfile我之所以没用ssl.crt是因为Lighttpd需要的证书文件比较特殊，是把Key私钥直接附加在crt证书后面生成的。为了不破坏原式证书，我起了一个不一样的名字来区分。 现在我们找到这两个program.pem和program.ca并将其替换成我们自己的证书。

接下来以StartSSL的免费SSL证书为例，说明这两个文件如何生成。

首先，我们从StartSSL拿到的证书文件包括：

ca.pem
ssl.crt
ssl.key
sub.class1.server.ca.pem

四个文件。其中ssl.key是预先解密好的私钥文件。当然不解密应该也可以，但是每次启动服务的时候都需要输入私钥密码，非常麻烦。

首先我们生成program.pem：

cat ssl.crt ssl.key > program.pem

这个ssl_key.crt就是我们最终需要的文件，即ssl.pemfile

然后生成ca-certs.crt：

cat sub.class1.server.ca.pem ca.pem > program.ca

此时生成的文件就是我们需要的文件。

然后将两个文件替换掉原来的文件，把Lighttpd重启一下，再访问就能看到效果了。

Xen VPS 手动安装Ubuntu 12.04.01 LTS 小记

by Orange

最近在某网站买了Xen的VPS，由于有些原因需要将系统从Win换成Ubuntu。但是由于没有提供现成的安装模板，所以只好联系了管理员帮我挂了一个镜像自己装。

在安装过程中出现了一个小问题：网络始终无法设置。如果先装好系统再用ifconfig想启用网卡的话，会出现

SIOCSIFFAGS：Cannot assign request address

的错误。网上搜了一下也没有看到我这个情况可用的解法，只好自己尝试。

经过试验，发现进入Xen的VPS控制面板，将虚拟网卡从Realtek8139改为IntelE1000，并将网络仿真器从ioemu更改为netfront之后，该问题得到解决。

然后由于管理员挂载的是Alternate版本的镜像，所以安装的时候把桌面环境神马的都装上了。上网找了一下找到了删除桌面环境的shell语句，记录一下。

sudo apt-get -y –auto-remove purge unity
sudo apt-get -y –auto-remove purge unity-commonp
sudo apt-get -y –auto-remove purge unity-lens*
sudo apt-get -y –auto-remove purge unity-services
sudo apt-get -y –auto-remove purge unity-asset-pool

 

Git教程系列-详细版（转载收藏）

by Orange

http://blog.enjoyrails.com/2008/12/28/git%E8%AF%A6%E8%A7%A3%EF%BC%88%E4%B8%80%EF%BC%89/

http://www.5iphp.com/node/124

 

流程：取代码 → 每次工作前更新代码到最新版本 → 修改代码 → 提交代码到服务器

取代码及修改全局设置

设置用户名与邮箱

1
2
 
git config --global user.name "My Name"
git config --global user.email "my@email.com"

从已有的git库中提取代码

1
 
git clone git@server:app.git myrepo

每次更改代码的操作

更新本地代码到最新版本（需要merge才能合到本地代码中）

1
 
git fetch

合并更新后的代码到本地

1
 
git merge

更新代码方式的另一种方法(git pull是git fetch和git merge命令的一个组合)

1
 
git pull

修改代码后，查看已修改的内容

1
 
git diff --cached

将新增加文件加入到git中

1
 
git add file1 file2 file3

从git中删除文件

1
2
 
git rm file1
git rm -r dir1

提交修改

1
 
git commit -m 'this is memo'

如果想省掉提交之前的 git add 命令，可以直接用

1
 
git commit -a -m 'this is memo'

commit和commit -a的区别, commit -a相当于：

  • 第一步：自动地add所有改动的代码，使得所有的开发代码都列于index file中
  • 第二步：自动地删除那些在index file中但不在工作树中的文件
  • 第三步：执行commit命令来提交

提交所有修改到远程服务器，这样，其它团队成员才能更新到这些修改

1
 
git push

其它常用命令

显示commit日志

1
 
git log

不仅显示commit日志，而且同时显示每次commit的代码改变。

1
 
git log -p

回滚代码：

1
 
git revert HEAD

你也可以revert更早的commit，例如：

1
 
git revert HEAD^

将branchname分支合并到当前分支中。(如果合并发生冲突，需要自己解决冲突)

1
 
git merge branchname

解决冲突

当merge命令自身无法解决冲突的时候，它会将工作树置于一种特殊的状态，并且给用户提供冲突信息，以期用户可以自己解决这些问题。当然在这个时候，未发生冲突的代码已经被git merge登记在了index file里了。如果你这个时候使用git diff，显示出来的只是发生冲突的代码信息。

在你解决了冲突之前，发生冲突的文件会一直在index file中被标记出来。这个时候，如果你使用git commit提交的话，git会提示：filename.txt needs merge

在发生冲突的时候，如果你使用git status命令，那么会显示出发生冲突的具体信息。

在你解决了冲突之后，你可以使用如下步骤来提交：

第一步(如果需要增加文件)：

1
 
git add file1

第二步：

1
 
git commit

将迅雷拒之门外

by Orange

不知道为什么，本来不受重视的L’Yun，却一直多灾多难，前几天空间呗停掉了，一个很以为的原因，每天将近9G的流量，晕死了，最多的一天才只有6个IP，但竟然有这么大的流量。后来查看了下日志，竟然是两首MP3引起的，每一秒钟都有人在下载。刚开始以为是百度干的，但是后来看了下在百度的位置，还不至于达到那么大的流量，然后自然而然的就想到迅雷了，看看别人的文章，可以肯定下，迅雷是个流氓！

解决方案：

1、对服务器的攻击屏蔽后，不用理会，不会造成太大影响。

2、被百度收录的是一部分MP3，因为不希望不访问网站就直接从后台下载网站的mp3，于是增加搜索引擎访问限制。在网站根目录下放置robots.txt，内容如下：

User-agent: Baiduspider

Disallow: /****

*表示不允许百度搜索引擎收录的路径。相对于百度，雅虎、MSN和Google的搜索引擎机器人没有那么流氓，所以不需要屏蔽。

3、对付迅雷。

相对于有些流氓的百度搜索引擎来说，迅雷就是恶霸了。

对于小网站站长来说，迅雷的分布式下载几乎是一种灾难。尽管迅雷给广大普通用户带来快捷方便，但给小服务器的负载带来严重灾难。

调用access日志，发现瞬间连接超过1000，而连接的集中点，居然是周董的一首《七里香》。尽管迅雷隐蔽的很好，但还是从日志的蛛丝马迹里找出它的影子。

于是先删掉七里香。删掉后仍有大量链接寻找其他MP3，而且删除一首mp3也只是治标不治本。启用Apache2的Rewrite模块。

在Apache的Http.conf中，开启Rewrite模块

LoadModule rewrite_module modules/mod_rewrite.so

然后增加以下Rewirte规则

RewriteEngine On

RewriteCond %{HTTP_REFERER} !^http://www.cfobbs.com/.*$ [NC]

RewriteCond %{HTTP_REFERER} !^http://www.cfobbs.com$ [NC]

RewriteRule .*\.(mp3|rm|wma)$ http://www.cfobbs.com/error.html [R,NC]

该规则表示，只有浏览器的REFERER是本站开头的连接，才可以下载MP3、rm、wma，否则转向error.html错误界面。

重启Apache后，用Flashget测试，无法下载mp3了，IE直接下载也会报错，但迅雷仍然可以下，百思不得其解，于是查阅迅雷官方资料，居然发现迅雷采用了一个十分流氓的手段：伪造下载地址的浏览器REFERER头，真是无耻。

考虑到网站的MP3全部是在网页自动播放，基本不需要额外下载，于是为了对付迅雷，采用了一个比较极端的方式：

RewriteEngine On

RewriteCond %{HTTP_USER_AGENT} !^NSPlayer.*

RewriteCond %{HTTP_USER_AGENT} !^windows.*

RewriteRule .*\.(mp3|rm|wma)$ http://www.cfobbs.com/error.html [R,NC]

也就是说，网站上mp3、rm、wma格式的文件，只允许播放器播放，不允许任何其它方式的访问，否则就转向错误页面。

重启Apache，使用迅雷下载，结果迅雷直接去下载了错误页面，初战告捷。

调用access日志，发现所有的mp3下载都提示302，转向了错误页面，而周董的七里香，则是404，直接报错。

自鸣得意一把。

顺便找到一个限速模块，对网站体积较大的文件进行限速，确保服务器稳定

LoadModule limitipconn_module modules/mod_limitipconn.so

BandwidthModule On

ForceBandWidthModule On

Bandwidth all 0

MinBandwidth all 0

LargeFileLimit *.mp3 500 50000

LargeFileLimit *.wma 500 50000

该模块可以指定文件名、文件大小限速，上面的意思是，MP3和WMA文件，凡是大小超过500K的，限速50K，大小不超过500K的，不予限速。

启用该模块，必须先行启用status模块

LoadModule status_module modules/mod_status.so

ExtendedStatus On

否则限速模块无效。

本文仅说明如何在服务器端屏蔽迅雷下载，包括HTTP方式和FTP方式，不涉及客户端和局域网内如何屏蔽迅雷的内容。

下面这里是废话，欢迎忽略，请直接跳到下面的“在Apache和屏蔽迅雷”
一旦服务器上的文件被迅雷索引，就会引来一大堆盗链的家伙，这对小带宽或低配置的服务器来说是致命的打击，于是如何限制迅雷下载服务器上的资源就成了一个很重要的问题。像我自己的服务器，用1MBps小水管来提供一个小网站的HTTP服务，开了内容压缩并设置好图片文件的缓存时间后，打开网页的速度还是比较快的，直到有一天，我发现网站打开的速度变得很慢，而且不是我自身的网络问题（当时我在外地，服务器在家里），当时仅仅知道是服务器上什么进程占用了大量带宽，还没有发现是迅雷的问题。后来经过了很多调查，才发现是迅雷在盗链，看访问日志里面一行行的大型文件下载记录，那真是触目惊心啊。
发现原因是迅雷盗链以后我就开始研究如何在服务器上屏蔽迅雷的下载。首先在HTTP协议上屏蔽迅雷是比较简单的，靠迅雷的用户代理（User Agent）就可以识别出迅雷了，但是在FTP协议上如何识别迅雷就比较棘手了。在好友的帮助下，最后我们终于发现一个在FTP协议上屏蔽迅雷的方法。在此之间和之后，我就写了IIS的反迅雷插件和Serv-U的反迅雷插件。
不过IIS和Serv-U只能在Windows平台上使用，这也是因为当时我的服务器还是Windows操作系统。其实Apache的mod_rewrite模块可以将用户代理作为重写条件，当时我也写了篇文章说明如何在Apache上屏蔽迅雷，但是在那之后还是有不少人发邮件问我如何在Apache上屏蔽迅雷。好吧，既然如此我就再写一篇文章来详细说明如何在Apache上屏蔽迅雷，顺便介绍libantixunlei，这是用于FTP反迅雷的一个C语言写的库。
上面是废话，欢迎忽略，下面进入正题。

在Apache上屏蔽迅雷

在HTTP协议上识别迅雷是通过迅雷的用户代理（User Agent）字串来进行识别的。我对我自己的网站的IIS访问日志以及一个评分系统的评分记录里面记录的用户字串进行了分析，之后发现迅雷使用的几个用户代理应该是唯一的，在访问日志中，除了下载文件的记录，只发现了极少量使用了和迅雷相同的用户代理的记录，这可能是个别用户出于杂七杂八的目使用迅雷下载普通网页而留下的日志。

有了这个分析结果，就可以保证通过用户代理来识别迅雷不会误杀普通用户了。但通过用户代理来识别迅雷有一个问题，如果以后迅雷把自己的用户代理改成和IE的用户代理一样的话怎么办？没关系，至少到现在为止（09年国庆），我还没有发现迅雷做此举动，等迅雷有动作了再想对策也不迟。另外，这里还有一个“脏数据”的方法，如果迅雷很不厚道地把自己伪装成IE的话，我们就只好也很不厚道地使用脏数据方法先反击一下迅雷。虽然脏数据对屏蔽迅雷没有什么帮助，至少可以出出气，让非最新版迅雷用户下载不到正确的内容，就这点应该够迅雷受的了，用户体验大受打击，我想大多数用户都不会追着使用最新版的。

于是，我在废话里面说了，使用Apache的mod_rewrite模块就可以很容易地屏蔽迅雷，因为这个模块的重写规则可以将用户代理作为判断条件。我们只要把用户代理和迅雷是一样的连接请求重定向到一个错误页面，或者干脆直接返回403，就可以在HTTP协议上屏蔽迅雷了。
到目前为止，我们观察到的迅雷使用的用户代理有以下几个：

  1. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)
  2. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)
  3. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; )
  4. Mozilla/5.0 (compatible; MSIE 6.0; Windows NT 5.0)
  5. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 3.5.20706)
  6. Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322; .NET CLR 2.0.50727)

放心，根据网站访问日志和评分系统的日志，这些用户代理应该都是迅雷特有的，在.htaccess文件里面把带有这些用户代理的请求重定向到错误页面就可以了。
当然对于普通网页来说，是没有必要屏蔽迅雷的，所以我们只需要屏蔽访问大文件的请求就可以了，于是.htaccess里面的内容就像下面这样：

  1. RewriteEngine On
  3. #Anti Thunder
  4. RewriteCond  %{HTTP_USER_AGENT}  ^Mozilla/4\.0\ \(compatible;\ MSIE\ 6\.0;\ Windows\ NT\ 5\.1\)$  [NC,OR]
  5. RewriteCond  %{HTTP_USER_AGENT}  ^Mozilla/4\.0\ \(compatible;\ MSIE\ 6\.0;\ Windows\ NT\ 5\.0\)$  [NC,OR]
  6. RewriteCond  %{HTTP_USER_AGENT}  ^Mozilla/5\.0\ \(compatible;\ MSIE\ 6\.0;\ Windows\ NT\ 5\.0\)$  [NC,OR]
  7. RewriteCond  %{HTTP_USER_AGENT}  ^Mozilla/4\.0\ \(compatible;\ MSIE\ 6\.0;\ Windows\ NT\ 5\.1;\ \)$   [NC,OR]
  8. RewriteCond  %{HTTP_USER_AGENT}  ^Mozilla/4\.0\ \(compatible;\ MSIE\ 6\.0;\ Windows\ NT\ 5\.0;\ \.NET\ CLR\ 3\.5\.20706\)$  [NC,OR]
  9. RewriteCond  %{HTTP_USER_AGENT}  ^Mozilla/4\.0\ \(compatible;\ MSIE\ 6\.0;\ Windows\ NT\ 5\.1;\ SV1;\ \.NET\ CLR\ 1\.1\.4322;\ \.NET\ CLR\ 2\.0\.50727\)$  [NC]
  10. RewriteRule  ^.*\.(gif|jpg|bmp|zip|rar|exe|mp3|swf)$   /   [NC,F]

如果你想制定更复杂的重写规则，可以参考Apache手册中mod_rewrite的部分，见：http://lamp.linux.gov.cn/Apache/ApacheMenu/mod/mod_rewrite.html
对于其他Web服务器软件，多多少少都能提供一些可将用户代理作为判断条件的网址重写模块或插件，参照上面Apache的设置方法对这些软件进行设置，都能达到屏蔽迅雷的效果。

在FTP协议上反迅雷

在FTP上反迅雷就比较麻烦，这需要获得每一个FTP会话的会话唯一标识和客户端发送的每一条FTP指令。因为这样的需求很少见，所以Linux下的FTP软件很少有提供相应的接口供我们使用。不过还好，Linux下的FTP软件大多都是开源的，我们可以自己修改源码。于是我就写了libantixunlei，然后针对不同的FTP软件，就套用libantixunlei来修改其源码，然后编译安装就可以了。

因为要修改FTP服务器软件的源码，这对技术的要求就比较高了，不见得每个服务器管理员都会C语言，所以对大多数服务器管理员来说目前还是只能等待别人为FTP软件写插件（如果支持的话），或者发布经过修改的FTP服务器软件源码。

于是，如果你想为某个FTP软件加入反迅雷的功能，请访问http://code.google.com/p/libantixunlei 。如果对libantixunlei的用法不太清楚的话，请给我发邮件，我会告诉你FTP协议上屏蔽迅雷的原理和应该使用libantixunei的哪些接口来识别迅雷。

不过先不要失望，现在已经有了可以反迅雷的Linux上的FTP服务器软件了，在我写这篇文章的时候我已经给pure-ftpd 1.0.22版本成功地打上了反迅雷补丁，补丁文件请到：http://code.google.com/p/libantixunlei/downloads/list 去下载，下载回来以后给纯净的pure-ftpd-1.0.22版本打上这个补丁（使用patch命令），然后编译安装就支持反迅雷了。对于其他版本的pure-ftpd我没有试验过是否能使用这个补丁，不知道能否正常使用。另外在此提醒一下没有自己编译安装过软件的管理员，pureftpd的一些功能需要在./configure的时候加上一些参数才能使用，具体请看源码根目录下面的说明文件，偷懒的话可以 ./configure –with-everything，不过印象中官方并不推荐使用这个参数。
另外，因为我很懒，所以把一些特性写死在程序里面了，是否屏蔽使用迅雷的IP和屏蔽IP的时间是写死在程序里面的，要改变的话只能重新编译。这两个配置在libantixunlei.h文件里面可以修改。

libantixunlei使用了pthread库，而在一些平台上编译的时候如果要使用pthread库需要显式指定-lpthread参数，我在PBS服务器上编译的时候没有问题，但是在自家的一台电脑上编译的时候却出错了。如果编译失败的话，点击这个地址查看处理方法：http://code.google.com/p/libantixunlei/wiki/BianYiShiBai

最后做广告：如果需要在Windows系统上反迅雷，请访问：https://www.gsea.com.cn/gs/fanxunlei/isapi.html
这里再贴出一个网友维护的迅雷、QQ旋风等下载软件的离线服务器IP列表，已经做成了Apache可识别的.htaccess，直接添加到自己的.htaccess中即可。
http://ipfilter-emule.googlecode.com/svn/trunk/ipfilter-xl/.htaccess

WordPress 的 .htaccess 规则

by Orange

原文：wpshout.com

我们知道 .htaccess 文件能轻松地强化你的博客，减少带宽并增加可用性。我曾经写过一篇简易的 .htaccess 教程：《四个例子实战讲解.htaccess文件rewrite规则》。如果你还想继续了解 .htaccess 文件，那么不妨看看下面这26个规则：

但是请先记住一条黄金法则：先备份，再折腾！

A – WP- Admin – 管理员页面

你可以限制访问 WP- Admin 页面的 IP 地址

1
2
3		 order deny,allow
allow from a.b.c.d # This is your static IP
deny from all

来源 –BlogSecurity.net

B – Blacklist – 黑名单

.htaccess 的一个重要功能是你能把它作为 IP 黑名单来使用：

1
2
3
4
5
order allow,deny
allow from all
deny from 123.456.789

来源 – Perishable Press

C – WP-Config Protection – 保护 Config 页

WP-Config 文件里包含了你的数据库名、数据库用户名与密码。这样的文件你敢让别人看到吗？所以你会需要用 .htaccess 来保护它。

1
2
3
4
5		 # protect wpconfig.php
order allow,deny
deny from all

来源 – Josiah Cole

D – Disable Directory Browsing – 禁止浏览目录

WP-Config 文件里包含了你的数据库名、数据库用户名与密码。这样的文件你敢让别人看到吗？所以你会需要用 .htaccess 来保护它。

1
2		 # disable directory browsing
Options All -Indexes

来源- Josiah Cole

E – Explanation – 释疑

如果我问你 .htaccess 是什么，我猜你一定很难说明白。老实说，我自个儿也不明白。好在维基百科给了个明确的解释：

.htaccess 是Apache HTTP Server的文件目录系统级别的配置文件的默认的名字。它提供了在主配置文件中定义用户自定义指令的支持。

维基百科也给出了一些特定的例子，你可以访问：http://zh.wikipedia.org/w/index.php?title=.htaccess&variant=zh-cn 了解更多。

F – Feedburner – RSS烧制

Feedburner 是各位博主的好帮手，通过这个例子你能把原来的 RSS 地址转向到烧制后的地址。

1
2
3
4
5
6
7		 # temp redirect wordpress content feeds to feedburner

RewriteEngine on
RewriteCond %{HTTP_USER_AGENT}!FeedBurner [NC]
RewriteCond %{HTTP_USER_AGENT}!FeedValidator [NC]
RewriteRule ^feed/?([_0-9a-z-]+)?/?$ http://feeds.feedburner.com/perishablepress [R=302,NC,L]

来源 – Perishable Press

G – Get an RSS Feed on a static page – 获取静态页的RSS

通过下面这个链接，你能学习到利用 .htaccess 获取静态页 RSS 的办法。

链接 – adityaspeaks.com

H – Disable hotlinking – 防止盗链

所谓盗链，就是别人私自用了你服务器上的图片、声音等文件，占用了你的带宽。你可以通过下面这个 .htaccess 规则来阻止盗链：

1
2
3
4
5
6		 #disable hotlinking of images with forbidden or custom image option
RewriteEngine on
RewriteCond %{HTTP_REFERER}!^$
RewriteCond %{HTTP_REFERER}!^http://(www\.)?yourdomain.com/.*$ [NC]
#RewriteRule \.(gif|jpg)$ -[F]
#RewriteRule \.(gif|jpg)$ http://www.yourdomain.com/stealingisbad.gif [R,L]

来源 – Josiah Cole

I – Important! – 重要提示！

是啊，呵呵，“I”开头的词是有些难找，但是它同样重要，very Important!

备份，要记住备份。当你把东西搞得一团糟时，只有备份文件能救你！

J – Jauntily show the admin’s email address in error message

*抱歉，本词条有误*

K – Keep RSS ‘content thieves’ away – 防范“RSS小偷”

你一定不希望有人窃取你网站的内容吧？他们只要有你的 RSS 地址就能复制内容。如果你有对方网站的IP地址（怎么获取？很简单，google 它），就能屏蔽该网站对你的 RSS 的读取。如果有不止一家网站复制你的内容，你只要增加 IP 地址就行了。

1
2
3		 RewriteEngine on
RewriteCond %{REMOTE_ADDR}^69.16.226.12
RewriteRule ^(.*)$ http://newfeedurl.com/feed

来源 – Seo Black Hat

L – Limiting number of simultaneous connections – 限制并发连接数

如果你要限制并发连接数（就是同时访问你的网站的人数），就使用下面这个代码。

1 MaxClients < number-of-connections>

M – Maintenance – 制作临时维护页面

无论什么原因，可能是维护、更新，你都可能会要暂时停止你的网站。这时你就需要一个维护页。无论访客访问的是你网站的任一 URL 还是 IP 地址，都能转向到维护页面。

1
2
3
4		 RewriteEngine on
RewriteCond %{REQUEST_URI}!/maintenance.html$
RewriteCond %{REMOTE_ADDR}!^123\.123\.123\.123
RewriteRule $ /maintenance.html[R=302,L]

来源 – CatsWhoCode/Woueb.net

N – Deny no referer requests [stop spam comments!] – 拒绝垃圾留言！

这是一个比下文“S”词条更简便的防 Spam 方法。其原理是，如果留言者不公开来源，即是用机器留言的，就屏蔽之。就这么简单。

1
2
3
4
5
6		 RewriteEngine On
RewriteCond %{REQUEST_METHOD} POST
RewriteCond %{REQUEST_URI} .wp-comments-post\.php*
RewriteCond %{HTTP_REFERER}!.*yourblog.com.*[OR]
RewriteCond %{HTTP_USER_AGENT}^$
RewriteRule (.*)^http://%{REMOTE_ADDR}/$ [R=301,L]

来源 – WPRecipes

O – Force files when opening to ‘save as’ – 用“另存为”方式打开文档

有时候你空间里的一些文件，比如音乐、视频文件，点开后会有软件自动打开这个文件。如果你不想自动打开，这个规则能把文件强制为另存为方式下载。

1 AddType application/octet-stream .avi .mpg .mov .pdf .xls .mp4

来源 – AskApache

P – Protect your .htaccess file – 保护 .htaccess 文件

如果你的博客已经做好的十足的防护措施，是不是也要考虑一下保护你的 .htaccess 文件呢？黑客也可能通过这个文件发起攻击。下面这个规则能禁止下载 .htaccess 文件。

1
2
3
4
5
6		 # STRONG HTACCESS PROTECTION
\.([Hh][Tt][Aa])”>
order allow,deny
deny from all
satisfy all

来源 – Perishable Press

Q – Quicken your site’s loading time by caching – 设置缓存

下面这个链接有详细的教程，教你如何给 WordPress 博客设置缓存。

链接 – Samaxes

R – Redirect to other pages on your site – 301重定向

1 RedirectMatch 301^/blog/.*$ http://domain.tld/target.html

来源 – Perishable Press

S – Spam! – 阻止垃圾留言

通过 .htaccess 来禁止 Spam 是个好办法。下面这个链接给出了一个 Spam 黑名单，复制到你的 .htaccess 里，你就能防止绝大部分的垃圾留言。

来源 – perishablepress.com

T – Set the Timezone of the server – 设置服务器时区

译者：代码给出的是把TZ值设置为美国时间的代码，如果服务器在中国，你可以改为Asia/Shanghai。

1 SetEnv TZ America/Indianapolis

来源 – AskApache

U – Remove /category/ from your category URL – 简化 WP 分类页面地址

WordPress 的分类页面地址里有一个 /category/ ，会不会觉得这很多余呢？下面这个代码就能去掉它！

1 RedirectMatch 301^/category/(.+)$ http://www.askapache.com/$1

或者

1 RewriteRule ^category/(.+)$ http://www.askapache.com/$1 [R=301,L]

来源 – AskApache

V – Valiantly automatically fix URL spelling mistakes – 修复错误地址

这个代码能自动检查英文地址的拼写错误。

1
2
3
CheckSpelling On

来源 – Vortex Mind

W – Redirect from http://Www.whatever to http://Whatever – 去掉网址前面的www.

使用301转跳，实现网址标准化。

1
2
3
4
5		 # permanently redirect from www domain to non-www domain
RewriteEngine on
Options +FollowSymLinks
RewriteCond %{HTTP_HOST}^www\.domain\.tld$ [NC]
RewriteRule ^(.*)$ http://domain.tld/$1 [R=301,L]

来源 – Stupid htaccess tricks

X – Make your wp-login.php page Xenophobic – 限制他人访问 wp-login

Xenophobic: “排外，仇视陌生人”

我觉得你应该适当使用这个规则。如果你不是多人博客，可以限制他人访问登录页面，以达到更高的安全性。

1
2
3
4
5
Order deny,allow
Deny from All
Allow from 123.456.789.0

来源 – Reaper-X

Y – Easily rename your .htaccess file – 重命名 .htaccess 文件

如果你的服务器不接受以句点开头的文件怎么办？重命名它呗！下面这个代码能实现 .htaccess 文件的重命名。

1
2		 # rename htaccess files
AccessFileName ht.access

来源 – Perishable Press

Z – Say Zygote in your .htaccess file – 在 .htaccess 里写注释

你可能会想在 .htaccess 文件里做些解释，好让别人能看懂。那怎么做注释呢？请看下面的代码：

1 # see -thisis a comment - you can only use letters and numbers and - and _ That is why there are no commas

要注意的是注释里只能写字母、数字与下划线

译者后记：原文的作者看样子也是经过收集才写成这篇文章的。如果你看了原文，请你注意，原文的有些代码里有一些多余或错误代码。我在本译文里都已做了修正。

WordPress优化之设置浏览器端缓存:Leverage browser caching

by Orange

网站上的静态内容，诸如：图片、CSS、JS、flash等，一般变动很小，甚至几个月都不会有所更改，这些体积庞大的静态内容占据了大部分网页加载时间。如何降低静态内容加载时间，甚至不需要（二次）加载静态内容，Leverage browser caching（浏览器端缓存）可以有效地解决这一问题，他使得浏览器可以缓存静态内容，使得浏览器不需要二次加载这些内容。

实现方法很简单，向.htaccess文件中添加以下代码：

#Expire Header
ExpiresActive on
ExpiresByType text/css "access 1 month"
ExpiresByType text/plain "access 2 days"
ExpiresByType text/html  "access 2 days"
ExpiresByType application/javascript "access 1 month"
ExpiresByType image/jpeg "access 1 month"
ExpiresByType image/x-icon "access 1 month"
ExpiresByType image/gif "access 1 month"
ExpiresByType image/png "access 1 month"
ExpiresByType image/ico "access 1 month"
ExpiresByType application/pdf "access 1 month"
ExpiresByType application/x-shockwave-flash "access 1 month"
ExpiresDefault "access 1 month"

#Expire Header
ExpiresActive on //开启缓存
ExpiresByType text/css “access 1 month”//css文件缓存1个月
ExpiresByType text/plain “access 2 days”//纯文本内容缓存2天
ExpiresByType text/html “access 2 days”//html文件缓存2天
ExpiresByType application/javascript “access 1 month”//JS文件缓存1个月
ExpiresByType image/jpeg “access 1 month”//jpeg图片缓存1个月
ExpiresByType image/x-icon “access 1 month”//icon缓存1个月
ExpiresByType image/gif “access 1 month”//gif图片缓存一个月
ExpiresByType image/png “access 1 month”//png图片缓存一个月
ExpiresByType image/ico “access 1 month”//ico缓存1个月
ExpiresByType application/pdf “access 1 month”//pdf文件缓存一个月
ExpiresByType application/x-shockwave-flash “access 1 month”//flash缓存一个月
ExpiresDefault “access 1 month”// 默认（未提及的可缓存文件）缓存1个月

 

保存后刷新网页，用Yslow测试可以看到，绝大部分内容都被缓存了。也就是说：读者第一次打开网页加载所有静态文件，以后再访问该页面，就不需要加载了。如果其他页面也使用相同的静态文件（比如js和css），那么访问其他页面也会很快（直接在浏览器的缓存里提取相应的静态内容）。

读者第一次打开网页加载静态文件并缓存，以后再访问该页面，就不需要加载

该方法需要apache的mod_expires，Ubuntu下用a2enmod expires开启。