<![CDATA[曲文庆's Blog]]> http://www.quwenqing.com/ zh-tw F2blog .cont 1.1 Build 090810 曲文庆's Blog http://www.quwenqing.com/attachments/8278598901.jpg http://www.quwenqing.com/ 曲文庆's Blog http://www.quwenqing.com/read-231.html <![CDATA[nginx 同一个IP上配置多个HTTPS主机]]> Wed, 03 Sep 2014 19:13:12 +0800 http://www.quwenqing.com/read-231.html 有时同一台设备上的多个域名需要使用ssl服务，那么，对于https的域名在同一个IP上如何同时存在多个虚拟主机呢？查看了下nginx手册，有这么一段内容，如下：


如果在同一个IP上配置多个HTTPS主机，会出现一个很普遍的问题：


server {


listen 443;


server_name www.quwenqing.com;


ssl on;


ssl_certificate www.quwenqing.com.crt;


}


server {


listen 443;


server_name qwq.quwenqing.com;


ssl on;


ssl_certificate qwq.quwenqing.com.crt;


} 


使用上面的配置，不论浏览器请求哪个主机，都只会收到默认主机www.quwenqing.com的证书。这是由SSL协议本身的行为引起的——先建立SSL连接，再发送HTTP请求，所以nginx建立SSL连接时不知道所请求主机的名字，因此，它只会返回默认主机的证书。


最古老的也是最稳定的解决方法就是每个HTTPS主机使用不同的IP地址： 


 se

]]> http://www.quwenqing.com/read-213.html <![CDATA[nginx模块LuaJIT编译安装问题解决]]> Tue, 19 Mar 2013 11:19:27 +0800 http://www.quwenqing.com/read-213.html
环境：
nginx-1.2.7.tar.gz
LuaJIT-2.0.1.tar.gz
 
按照正常流程对LuaJIT-2.0.1.tar.gz编译，make;make install
编译nginx
        export LUAJIT_LIB=/usr/local/lib
        export LUAJIT_INC=/usr/local/include/luajit-2.0
./configure --prefix=/usr/local/nginx --add-module=exp/lua-nginx-module/   其他模块参数略
 
此时会报告错误
checking for LuaJIT library in /usr/local/lib and /usr/local/include/luajit-2.0 (specified by the LUAJIT_LIB and LUAJIT_INC env) ... not found
   
]]> http://www.quwenqing.com/read-205.html <![CDATA[关于IIS 6.0 500.13-Web Server Too Busy 调测]]> Wed, 06 Mar 2013 16:13:04 +0800 http://www.quwenqing.com/read-205.html IIS 报错500.13，服务器太忙，此时无法处理请求，通讯量超出网站的配置能力

查询该错误码微软解释是：

500.13-Web Server Too Busy

ASP requests are executed by threads from a pool of threads whose size is limited to 25 threads per processor, by default. If more ASP requests arrive than there are threads available to execute them, ASP places the extra requests in a queue, where they wait until a thread becomes available. By default, this queue is limited to 3000 requests. If the queue becomes full, the next ASP request, instead of being queued

]]> http://www.quwenqing.com/read-193.html <![CDATA[nginx如何处理web请求]]> Fri, 09 Nov 2012 22:11:10 +0800 http://www.quwenqing.com/read-193.html nginx如何处理web请求

首先要记住的是，Nginx的配置文件是逐层继承的，外层定义的配置项将会作为内层的默认配置，因此，最好将通用的配置项放在最顶层。当然，这种继承而来的默认配置可以在内层被重现。

常用的配置有三层，在配置文件中以块的形式呈现。HTTP块->server块->location块。

此外，有两种特殊的location块，事件（event）块和root块，HTTP块和事件块均在root块中。这两种块只包含了少量的配置信息，更多的则在其他的三种块中。

这些块各司其职。server块描述了一种在apache中称为虚拟服务器的结构，location块主要是针对URI。

一、基于域名的虚拟服务器

nginx首先确定使用哪一个server域来处理请求，下面的例子中有3个虚拟服务器监听*:80端口。

server {
listen 80;
server_name nginx.org www.nginx.org;
...
}
 
server {
listen 80;
server_name nginx.net www.nginx.net;
...
}
&nb

]]> http://www.quwenqing.com/read-156.html <![CDATA[CentOS下Nginx支持CGI]]> Fri, 13 Apr 2012 13:38:05 +0800 http://www.quwenqing.com/read-156.html 今天鼓捣fcgiwrap，发现对autoconf版本和一些组件依赖非常严重，换个思路、换个软件试试，从网上看到相关文章，实测了一下，可以通过，转载记录
系统：CentOS 5.4 x86_64

wget http://www.cpan.org/modules/by-module/FCGI/FCGI-0.73.tar.gz 
wget http://search.cpan.org/CPAN/authors/id/G/GB/GBJK/FCGI-ProcManager-0.19.tar.gz 

解压两个软件包编译安装

perl Makefile.PL 
make && make install 

用 perl 写一个 daemon 程序来处理 cgi 文件（转自 http://bluedata.org/2009/08/21/nginx-cgi/ ）：

vi /usr/local/bin/cgiwrap-fcgi.pl

#!/usr/bin/perl -w
use FCGI;
use Socket;
use FCGI::Proc
]]> http://www.quwenqing.com/read-146.html <![CDATA[使用curl访问https]]> Thu, 01 Dec 2011 16:17:46 +0800 http://www.quwenqing.com/read-146.html 近期在wosign申请一个OV证书，部署到nginx服务器中，通过浏览器访问，一切正常，但是在linux下用curl访问就会报告错误

 

]]> http://www.quwenqing.com/read-137.html <![CDATA[nginx 漏洞]]> Fri, 26 Aug 2011 10:52:56 +0800 http://www.quwenqing.com/read-137.html nginx今天被曝,当与php-fastcgi配合时,存在严重的任意代码执行漏洞。受影响版本(0.5.*, 0.6.*, 0.7 <= 0.7.65, 0.8 <= 0.8.37)。]]> http://www.quwenqing.com/read-135.html <![CDATA[Apache 1.3 2.0所有版本通杀 Ddos高危漏洞及临时解决方案]]> Thu, 25 Aug 2011 20:45:51 +0800 http://www.quwenqing.com/read-135.html 最新爆出Apache HTTPD DoS高危漏洞，影响到 apache 所有版本。

主要利用了Http Head中返回值为206 包含Partial Content字段，则构造Range字段的HEAD包进行DoS攻击，根据爆出的exp测试，100个包攻击数据包能够打挂一台apache server。

目前官方还没有给出patch解决方案，预计还要等48个小时，才能够给出官方patch；

 

 

临时提供的解决方法通过修改配置文件，测试都可用(前提是加载了mod_header模块)：

 

1.       完全关闭range是一种方法，在httpd.conf文件中设置RequestHeader志为unset

RequestHeader unset Range

 

2.       Apache 2.0.x 和2.3.x版本可通过修改配置，主要通过发现大的range包则忽略请求或者直接拒绝，在httpd.conf配置若中添

]]> http://www.quwenqing.com/read-109.html <![CDATA[IIS源码泄露及文件类型解析错误]]> Fri, 21 May 2010 15:42:30 +0800 http://www.quwenqing.com/read-109.html 漏洞介绍：IIS是微软推出的一款webserver，使用较为广泛，在支持asp/asp.net的同时还可以较好的支持PHP等其他语言的运行。但是80sec发现在IIS的较高版本中存在一个比较严重的安全问题，在按照网络上提供的默认配置情况下可能导致服务器泄露服务器端脚本源码，也可能错误的将任何类型的文件以PHP的方式进行解析，使得恶意的攻击者可能攻陷支持PHP的IIS服务器，特别是虚拟主机用户可能受的影响较大。


漏洞分析：
IIS支持以CGI的方式运行PHP，但是此种模式下，IIS处理请求的时候可能导致一些同80sec提到的nginx安全漏洞一样的问题，任何用户可以远程将任何类型的文件以PHP的方式去解析，你可以通过查看Phpinfo中对php的支持方式，其中如果为CGI/FAST-CGI就可能存在这个问题。

黑盒访问

http://www.80sec.com/robots.txt/1.php


查看文件是否存在和返回的HTTP头就可以知道是否存在此漏洞。

同时，如果服务器支持了PHP，但应用中使用的是asp就可以通过如下方式来直接查看服务端asp源码

http://www.80sec.com

]]> http://www.quwenqing.com/read-108.html <![CDATA[nginx文件类型错误解析漏洞]]> Fri, 21 May 2010 14:47:41 +0800 http://www.quwenqing.com/read-108.html 漏洞介绍：nginx是一款高性能的web服务器，使用非常广泛，其不仅经常被用作反向代理，也可以非常好的支持PHP的运行。80sec发现其中存在一个较为严重的安全问题，默认情况下可能导致服务器错误的将任何类型的文件以PHP的方式进行解析，这将导致严重的安全问题，使得恶意的攻击者可能攻陷支持php的nginx服务器。


漏洞分析：nginx默认以cgi的方式支持php的运行，譬如在配置文件当中可以以


location ~ .php$ {
root html;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
include fastcgi_params;
}

的方式支持对php的解析，location对请求进行选择的时候会使用URI环境变量进行选择，其中传递到后端Fastcgi的关键变量SCRIPT_FILENAME由nginx生成的$fastcgi_script_name决定，而通过分析可以看到$fastcgi_s]]>