密码保护：GitLab EE (Enterprise Edition) 破解研究

2016 年 5 月 29 日2019 年 12 月 5 日 by Orange

常用 openssl 命令

2016 年 5 月 25 日 by Orange

The Most Common OpenSSL Commands

One of the most versatile SSL tools is OpenSSL which is an open source implementation of the SSL protocol. There are versions of OpenSSL for nearly every platform, including Windows, Linux, and Mac OS X. OpenSSL is commonly used to create the CSR and private key for many different platforms, including Apache. However, it also has hundreds of different functions that allow you to view the details of a CSR or certificate, compare an MD5 hash of the certificate and private key (to make sure they match), verify that a certificate is installed properly on any website, and convert the certificate to a different format. A compiled version of OpenSSL for Windows can be found here.

If you don’t want to bother with OpenSSL, you can do many of the same things with our SSL Certificate Tools. Below, we have listed the most common OpenSSL commands and their usage:

General OpenSSL Commands

These commands allow you to generate CSRs, Certificates, Private Keys and do other miscellaneous tasks.

Generate a new private key and Certificate Signing Request

openssl req -out CSR.csr -new -newkey rsa:2048 -nodes -keyout privateKey.key

Generate a self-signed certificate (see How to Create and Install an Apache Self Signed Certificate for more info)
```
openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout privateKey.key -out certificate.crt
```
Generate a certificate signing request (CSR) for an existing private key
```
openssl req -out CSR.csr -key privateKey.key -new
```

Generate a certificate signing request based on an existing certificate

openssl x509 -x509toreq -in certificate.crt -out CSR.csr -signkey privateKey.key

Remove a passphrase from a private key

openssl rsa -in privateKey.pem -out newPrivateKey.pem

Checking Using OpenSSL

If you need to check the information within a Certificate, CSR or Private Key, use these commands. You can also check CSRs and check certificates using our online tools.

Check a Certificate Signing Request (CSR)

openssl req -text -noout -verify -in CSR.csr

Check a private key
```
openssl rsa -in privateKey.key -check
```

Check a certificate

openssl x509 -in certificate.crt -text -noout

Check a PKCS#12 file (.pfx or .p12)
```
openssl pkcs12 -info -in keyStore.p12
```

Debugging Using OpenSSL

If you are receiving an error that the private doesn’t match the certificate or that a certificate that you installed to a site is not trusted, try one of these commands. If you are trying to verify that an SSL certificate is installed correctly, be sure to check out the SSL Checker.

Check an MD5 hash of the public key to ensure that it matches with what is in a CSR or private key

openssl x509 -noout -modulus -in certificate.crt | openssl md5
openssl rsa -noout -modulus -in privateKey.key | openssl md5
openssl req -noout -modulus -in CSR.csr | openssl md5

Check an SSL connection. All the certificates (including Intermediates) should be displayed
```
openssl s_client -connect www.paypal.com:443
```

Converting Using OpenSSL

These commands allow you to convert certificates and keys to different formats to make them compatible with specific types of servers or software. For example, you can convert a normal PEM file that would work with Apache to a PFX (PKCS#12) file and use it with Tomcat or IIS. Use our SSL Converter to convert certificates without messing with OpenSSL.

Convert a DER file (.crt .cer .der) to PEM

openssl x509 -inform der -in certificate.cer -out certificate.pem

Convert a PEM file to DER

openssl x509 -outform der -in certificate.pem -out certificate.der

Convert a PKCS#12 file (.pfx .p12) containing a private key and certificates to PEM
```
openssl pkcs12 -in keyStore.pfx -out keyStore.pem -nodes
```
You can add -nocerts to only output the private key or add -nokeys to only output the certificates.

Convert a PEM certificate file and a private key to PKCS#12 (.pfx .p12)

openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

Originally posted on Sun Jan 13, 2008

https://www.sslshopper.com/article-most-common-openssl-commands.html

dd 常用命令汇总

2016 年 5 月 24 日2016 年 5 月 24 日 by Orange

生成指定大小的文件

dd if=/dev/urandom of=sample.txt bs=1G count=1
dd if=/dev/urandom of=sample.txt bs=64M count=16

dd if=/dev/random of=sample.txt bs=1G count=1
dd if=/dev/random of=sample.txt bs=64M count=16

测试磁盘的读写速度

一般常用的能查到的测试磁盘读写速度的命令是下面几个：

dd bs=1M count=256 if=/dev/zero of=test
dd bs=1M count=256 if=/dev/zero of=test; sync
dd bs=1M count=256 if=/dev/zero of=test conv=fdatasync
dd bs=1M count=256 if=/dev/zero of=test oflag=dsync

但是实际上，这几个的效果并不完全相同：

dd bs=1M count=256 if=/dev/zero of=test
The default behaviour of dd is to not “sync” (i.e. not ask the OS to completely write the data to disk before dd exiting). The above command will just commit your 256 MB of data into a RAM buffer (write cache) – this will be really fast and it will show you the hugely inflated benchmark result right away. However, the server in the background is still busy, continuing to write out data from the RAM cache to disk.
dd 的默认行为是不做任何“同步”操作（也就是说，不要求操作系统在 dd 终止前完整的将数据写入磁盘。）上面那个命令只会给你分配 256M 的 RAM 缓存（写缓存）- 这个操作是非常快的，会告诉你非常夸张的测试觉果。但是实际上，服务器本身还在后台繁忙的进行写入操作，来将你刚刚写入 RAM 缓存的数据同步到磁盘。
```
# dd bs=1M count=256 if=/dev/zero of=test
256+0 records in
256+0 records out
268435456 bytes (268 MB) copied, 0.217855 s, 1.2 GB/s
```
dd bs=1M count=256 if=/dev/zero of=test; sync
Absolutely identical to the previous case, as anyone who understands how *nix shell works should surely know that adding a ; sync does not affect the operation of previous command in any way, because it is executed independently, after the first command completes. So your (inflated) MB/sec value is already printed on screen while that sync is only preparing to be executed.
跟上一个命令完全相同。任何知道 *nix shell 如何运作的人都一定知道只是加一个 ; sync 并不会影响签名一条命令，因为这两条命令是完全分开执行的，添加的 sync 是在 dd 执行结束之后才会执行的。所以当你看到夸张的 MB/s 的值的时候，sync 命令才刚刚开始准备执行。
```
# dd bs=1M count=256 if=/dev/zero of=test; sync
256+0 records in
256+0 records out
268435456 bytes (268 MB) copied, 0.225096 s, 1.2 GB/s
(Waiting for sync)
#
```
dd bs=1M count=256 if=/dev/zero of=test conv=fdatasync
This tells dd to require a complete “sync” once, right before it exits. So it commits the whole 256 MB of data, then tells the operating system: “OK, now ensure this is completely on disk”, only then measures the total time it took to do all that and calculates the benchmark result.
这条指令告诉 dd 在退出之前必须要等待“同步”结束。所以该命令先是创建了 256M 的数据，然后告诉系统：“现在确认这些数据已经写到了磁盘上”，然后才开始停止计时并计算测试的结果。
```
# dd bs=1M count=256 if=/dev/zero of=test conv=fdatasync
256+0 records in
256+0 records out
268435456 bytes (268 MB) copied, 1.54606 s, 174 MB/s
```
dd bs=1M count=256 if=/dev/zero of=test oflag=dsync
Here dd will ask for completely synchronous output to disk, i.e. ensure that its write requests don’t even return until the submitted data is on disk. In the above example, this will mean sync’ing once per megabyte, or 256 times in total. It will be the slowest mode, as the write cache is basically unused at all in this case.
这条命令 dd 会要求完全同步写入磁盘，也就是说，任何一个写入请求在数据完全保存到磁盘之前都不会返回。在上面这条命令里，这代表 dd 将会每 1MB 同步一次，或者说一共要同步256次。所以这是最慢模式，因为这种情况下基本上完全没有使用缓存。
```
# dd bs=1M count=256 if=/dev/zero of=test oflag=dsync
256+0 records in
256+0 records out
268435456 bytes (268 MB) copied, 2.40251 s, 112 MB/s
```
当然有时候连续执行第三条和第四条命令，第四条并不比第三条慢。这可能是由于其他应用的 IO 占用导致的。

所以，一般情况下推荐使用第三条命令来进行测试，尽可能快的得到尽可能准确的结果。

原文地址：https://romanrm.net/dd-benchmark

Nginx 配置 403 Error Page

2016 年 5 月 20 日 by Orange

今天遇到一个很有意思的问题，就是给 Nginx 配置 403 时候的错误页面。因为这台 Nginx 针对访问 IP 做了一些限制，所以需要给无权限访问的用户展示一个友好的界面。

一开始我的设置是这么写的：

...
allow 10.0.0.0/24;
allow 192.168.0.0/24;
deny 1.2.3.4;
deny 2.3.4.5;

error_page 403 /403.html;
...

可是实际使用发现，无论如何 Nginx 展示的都是内置 Hard Code 进去的那个 404 页面，并不是我想让他展示的友好的界面。

在排除了各种文件权限之类的错误之后，我 Google 了一下发现，这个真正的原因在于前面配置的 deny 不仅 deny 掉了正常页面的访问，同时也将对 /404.html 页面的访问也 deny 掉了。

所以正确的配置是加上下面几句：

location = /403.html {
    root /path/to/403/page/;
    allow all;
    internal;
}

通过强制允许访问 /403.html 的方式来避免这个错误。下面加上 internal 的意思是这个页面不能被正常的访问到，只能因为 error_page 等内部原因而被访问到。详见这里

使用 Nginx 反代 Apache 安装 WordPress

2016 年 5 月 19 日 by Orange

最近由于原先博客主机极度不稳定，所以准备了很久，准备进行主机迁移。由于迁移前的环境和迁移后还是有较大的区别，整体架构也不太一样，所以在这里说说迁移过程中遇到的问题。

环境对比

	原主机	新主机
操作系统	CentOS 6	CentOS 7
Web 服务器	Apache 2.2	Openresty 1.9.7 + Apache 2.4
PHP 版本	5.5	5.6
其他		SELinux

SELinux

很多人为了省事，在拿到主机的第一时间就直接禁用了 SELinux。不过在学习了一段时间之后，我发现其实 SELinux 是一个很好的保护机器的手段。

这里简单列举几个需要注意的 SELinux 的配置：

httpd_can_network_connect_db boolean 类型，控制 Apache 是否可以连接 DB
http_port_t port 类型，控制 Apache 可以监听的端口
mysqld_port_t port 类型，控制 mysql 可以监听的端口和 Apache 可以连接的 DB 端口

由于我是将 Apache 作为只解析后端 PHP 请求使用，所以需要修改 http_port_t 加入我需要的端口。添加方法类似于：

semanage port -a -t http_port_t  -p tcp 8090

另外由于我没有在本机安装 Mysql 而是使用的远程 Mysql 实例，并且开放的端口并不是标准的 3306，所以需要将端口号添加到 mysqld_port_t 中。

Apache

这玩意是主要的坑所在。下面来一一列举。

配置格式变更

Apache 2.2 和 2.4 的配置文件区别还是比较大的，加了很多新的参数，同时修改了很多配置的方法。最明显的是：

Options -Indexes

Allow from all
Deny from all

这三条配置已经完全被改掉了。如果在配置中出现第一种，会直接起不来。后面的 Allow Deny 的写法虽然不会有问题，但是已经不是官方推荐的了，建议改掉。

配置无效

在配置 Apache 2.4 的 Log Format 的时候，我发现了一个很蛋疼的问题，就是 CentOS yum 安装的版本（2.4.6）有些配置是使用不了的。如：

http://httpd.apache.org/docs/2.4/mod/mod_log_config.html

这个文档中的：

%{UNIT}T	The time taken to serve the request, in a time unit given by UNIT. Valid units are ms for milliseconds, us for microseconds, and s for seconds. Using s gives the same result as %T without any format; using us gives the same result as %D. Combining %T with a unit is available in 2.4.13 and later.

很多参数都有类似的标注（available in 2.4.13 and later），告诉你在旧版本中不能使用。如果不仔细看的话很容易忽略。所以配置之前一定要仔细阅读。

HTTPS

WordPress

由于我的博客是全站 HTTPS 的，因此在 WordPress 上我是有做一些强制 HTTPS 的措施。但是！由于 WordPress 默认的检测 HTTPS 的方法是这样的：

/**
 * Determine if SSL is used.
 *
 * @since 2.6.0
 *
 * @return bool True if SSL, false if not used.
 */
function is_ssl() {
        if ( isset($_SERVER['HTTPS']) ) {
                if ( 'on' == strtolower($_SERVER['HTTPS']) )
                        return true;
                if ( '1' == $_SERVER['HTTPS'] )
                        return true;
        } elseif ( isset($_SERVER['SERVER_PORT']) && ( '443' == $_SERVER['SERVER_PORT'] ) ) {
                return true;
        }
        return false;
}

而我的 HTTPS 是在 Nginx 层做的，所以导致这两个条件均不满足，因此会遇到重定向循环（Redirect Loop）的问题。解决方法有两种：

修改 wp-config.php 文件：

if ( isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && ( 'https' == $_SERVER['HTTP_X_FORWARDED_PROTO'] ) ) {
    $_SERVER['HTTPS'] = 'on';
}

这里的修改需要配合修改 Nginx 的 Proxy 设置，增加下面这行：

proxy_set_header X-Request-Protocol $scheme; #http or https

修改 wp-includes/functions.php 文件（4025行左右）：

找到上面说的那段代码，将其替换为：

/**
 * Determine if SSL is used.
 *
 * @since 2.6.0
 *
 * @return bool True if SSL, false if not used.
 */
function is_ssl() {
        if ( isset($_SERVER['HTTPS']) ) {
                if ( 'on' == strtolower($_SERVER['HTTPS']) )
                        return true;
                if ( '1' == $_SERVER['HTTPS'] )
                        return true;
        } elseif ( isset($_SERVER['SERVER_PORT']) && ( '443' == $_SERVER['SERVER_PORT'] ) ) {
                return true;
        } elseif ( isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && ( 'https' == $_SERVER['HTTP_X_FORWARDED_PROTO'] ) ) {
                return true;
        }
        return false;
}

同时这个修改方法也要配合修改 Nginx 的 Proxy 设置。

注意，虽然可以不做判断直接无脑 $_SERVER[‘HTTPS’] = ‘on’; 或者在那个 is_ssl() 方法中无脑返回 true，但是不建议这样修改。因为这样可能会导致安全上面的问题。

Apache .htaccess

由于我在某些目录中通过 .htaccess 的方式强制重定向了非 HTTPS 请求，因此在将 SSL 交给 Nginx 之后相关的跳转判断也要修改。原先的跳转逻辑是：

RewriteEngine on
RewriteCond   %{HTTPS} !=on
RewriteRule   ^(.*)  https://%{SERVER_NAME}/$1 [L,R]

由于 %{HTTPS} 这个变量判断的是 Apache 传进来的内部参数，我们无法控制，所以需要将这段修改为：

RewriteEngine on
RewriteCond %{HTTP:X-Request-Protocol} ^http$
RewriteRule   ^(.*)  https://%{SERVER_NAME}/$1 [L,R]

这里判断的就是 Nginx 传进来的 X-Request-Protocol 头了。不过这种写法并不能在单独使用 Apache 作为 Web 服务器的时候使用，需要注意。

客户端证书

目前只针对某目录或文件的客户端证书配置还没有测试完成，将在后面更新。

桔子小窝

Month: 5 月 2016