作者: Leo

  • nginx 配置站点 支持 http协议 80端口 https协议 443端口同时兼容访问 实例

    最近由于mmsid被封,而没有其他的网盘可以代替,所以想到了上https,这样就可以在线播放magnet协议的视频了。当然这里需要你的nginx支持ngx_http_ssl_module模块,否则会报错。

    申请ssl证书:https://freessl.wosign.com/,全中文网站,具体申请步骤就不细写了。

    下面贴出nginx的具体配置文件:

    server {
     listen 80 default_server; #监听80端口,作为默认网站,即使用ip访问时默认出现的站点
     listen 443 ssl; #同时监听443端口为ssl
     root /v.jiloc.com; #网站根目录地址
     index index.html index.htm index.php;
     server_name v.jiloc.com;
     #配置证书段,证书放在nginx安装目录的sslkey目录下。
     ssl_certificate sslkey/v.jiloc.com_bundle.crt;
     ssl_certificate_key sslkey/v.jiloc.com.key;
     ssl_session_timeout 5m;
     ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
     ssl_ciphers ALL:!DH:!EXPORT:!RC4:+HIGH:+MEDIUM:-LOW:!aNULL:!eNULL;
     ssl_prefer_server_ciphers on;
     location / {
     try_files $uri $uri/ /index.php?args;
     if (!-e $request_filename){
     rewrite (.*) /index.php;
     }
     location ~ .*.(bmp|gif|jpg|jpeg|png|swf)$ {#图片防盗链配置段
     valid_referers none blocked *.jjhr.net jjhr.net jiloc.com *.jiloc.com *.22g87.com 22g87.com xianzizhou.com *.xianzizhou.com;
     if ($invalid_referer) {
     return 403;
     }
     expires 10d;
     }
     location ~ .*.(js|css)$ {
     expires 10d;
     }
     }
     include php5-fpm.conf;#php-fpm配置段
     access_log /var/log/nginx/v.jiloc.com.access.log;
    }
  • WordPress pingback DDOS攻击 nginx防护图文教程

    最近老狼的站老是被攻击,最后分析日志后发现是Wordpress 的 pingback 漏洞导致的DDOS攻击,日志如下:

    QQ截图20160407133349

    192.241.x.x – – [07/Apr/2016:12:22:44 +0800] “GET /index.php HTTP/1.0″ 200 “-” “WordPress/3.9.2; http://www.x.x; verifying pingback from 69.30.x.x” “-“

    这里很明显,全部都是Wordpress。下面我们给出防护nginx,apache的防护方案教程(请根据自己的WEB服务器判断是哪一种):

    Nginx:

    在?location / 区块种添加如下代码:

    # WordPress Pingback Request Denial
    if ($http_user_agent ~* “WordPress”) {
    return 403;
    }

    这样的话有请求也不会去找PHP了,nginx及时的返回403,如果连接过多的话需要修改nginx中 worker_connections的参数值,可以把它增加到更大的值。

    Apache:

    在配置文件中添加:

    BrowserMatchNoCase WordPress wordpress_ping
    BrowserMatchNoCase WordPress wordpress_ping
    Order Deny,Allow
    Deny from env=wordpress_ping

    然后reload服务。再观察日志,可以看到全部返回403了。网站也恢复了正常访问。

    QQ截图20160407135309

    如果上面的方法还是无法正常访问那就需要用到iptables了。

    IPTABLES防护:

    cat /var/log/nginx/access.log | grep “verifying pingback from” > pingback_attack.log

    然后用php分析日志,导入到iptables规则中。

    <?php
    error_reporting(0);

    $reqs = file(“pingback_attack.log”);

    foreach ($reqs as $req) {
    $ip = explode(” – – “, $req);
    $ip_address[$ip[0]]++;
    }

    arsort($ip_address);

    foreach ($ip_address as $ip=>$attack_times) {
    print “# WordPress IP. Attacked {$attack_times} times<br />”;
    print “iptables -A INPUT -s {$ip} -j DROP<br />”;
    }

    ?>

    然后将输出的内容执行到iptables规则里面。

  • #网易邮箱52GB# 数据全公开 在用网易邮箱的小伙伴们赶快修改密码吧~

    QQ截图20160406132509
    3.30日晚上21点 微博网友@ringzero 给出了一份所谓的“网易52G库”,称就是去年被泄露的网易163、126邮箱数据,总数据量多达52GB。

     

    并且从截图可以看出 所有密码数据 都是明文。

    该网友称已经开始分析泄漏数据的影响程度,但他也同时明确表示,这份数据的真假尚不清楚,需要研究后再判断,如果是假的或者危害没有那么重,会给网易一个道歉。

    目前发布者@ringzero 爆料博文已经被 新浪加以权限 ?原文已经看不到了 ?且分享的百度云链接也失效了

    4124124

     

    ——————————————————————————–

    3.31日更新 ?目前已知昨晚转存到文件同学 已经无法在次分享这次泄漏的数据库文件

    并且在4.1日00:30分左右 ?百度云官方切断了所有正在下载的文件 ?并且重新连接下载会直接?302 到 wenxintishi.mp4

    20160331093041854

     

    最后,回到本文主题,目前有热心站长针对此数据库制作了相关的查询网站,赶紧快速查询修改密码吧:

    网易52G密码库查询:https://163password.download/

    无论是因为查询量过大,还是相关法律法规问题等因素最终都将会影响网站的正常打开访问查询,因此,需要查询的应该赶紧!

    查询结果分两种:

    如果输入查询的邮箱返回了类似“xxxx@163.com—-12345678”等包含账号和明文密码的结果,很不幸,相关信息已经残遭泄露。

    如果输入查询的邮箱返回了的是“未找到”或者“xxxx@163.com—-”等不包含密码的结果,恭喜,相关信息并没有在数据中出现泄漏,但是账号安全问题仍不容忽视!

    在用网易邮箱的小伙伴们赶紧重新修改密码吧~

  • wordpress wp_insert_post 插入数据 不过滤 ed2k magnet 等特殊字符

    wordpress wp_insert_post 插入数据 不过滤 ed2k magnet 等特殊字符

    最近写了wordpress 采集的脚本,但是插入时ed2k magnet等字符被自动过滤了,其实这是wordpress的自动保护体制。具体代码在wp-includes目录内找到post.php,搜索以下内容:

    $postarr = sanitize_post($postarr, 'db'); //这行注释掉,就可以了。

    但是这样做整体后台就会失去保护了,下面我们提供另外一种方法,在脚本执行插入时添加代码如下:

    kses_remove_filters(); //停止过滤字符
    $post_ID = wp_insert_post( $my_post);//wordpress自带的插入功能
    kses_init_filters();//重新开启过滤字符

    注意:此处只要是安全性能的过滤,比如PHP的’单引号等字符。

    这样就不会影响整体影响使用啦~

  • php 生成随机 字符串 密码的方法 图文教程

    使用PHP开发应用程序,尤其是网站程序,常常需要生成随机密码,如用户注册生成随机密码,用户重置密码也需要生成一个随机的密码。随机密码也就是一串固定长度的字符串,这里我收集整理了几种生成随机字符串的方法,以供大家参考。

    方法一:

    1、在 33 – 126 中生成一个随机整数,如 35,
    2、将 35 转换成对应的ASCII码字符,如 35 对应 #
    3、重复以上 1、2 步骤 n 次,连接成 n 位的密码

    该算法主要用到了两个函数,mt_rand ( int $min , int $max )函数用于生成随机整数,其中 $min – $max 为 ASCII 码的范围,这里取 33 -126 ,可以根据需要调整范围,如ASCII码表中 97 – 122 位对应 a – z 的英文字母,具体可参考 ASCII码表; chr ( int $ascii )函数用于将对应整数 $ascii 转换成对应的字符。

    function create_password($pw_length = 8)
    {
    $randpwd = '';
    for ($i = 0; $i < $pw_length; $i++)
    {
    $randpwd .= chr(mt_rand(33, 126));
    }
    return $randpwd;
    }
    

    // 调用该函数,传递长度参数$pw_length = 6
    echo create_password(6);

    方法二:

    1、预置一个的字符串 $chars ,包括 a – z,A – Z,0 – 9,以及一些特殊字符
    2、在 $chars 字符串中随机取一个字符
    3、重复第二步 n 次,可得长度为 n 的密码

    function generate_password( $length = 8 ) {
    // 密码字符集,可任意添加你需要的字符
    $chars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%^&*()-_ []{}<>~`+=,.;:/?|';
    $password = '';
    for ( $i = 0; $i < $length; $i++ )
    {
    // 这里提供两种字符获取方式
    // 第一种是使用 substr 截取$chars中的任意一位字符;
    // 第二种是取字符数组 $chars 的任意元素
    // $password .= substr($chars, mt_rand(0, strlen($chars) - 1), 1);
    $password .= $chars[ mt_rand(0, strlen($chars) - 1) ];
    }
    return $password;
    }

    方法三:

    1、预置一个的字符数组 $chars ,包括 a – z,A – Z,0 – 9,以及一些特殊字符
    2、通过array_rand()从数组 $chars 中随机选出 $length 个元素
    3、根据已获取的键名数组 $keys,从数组 $chars 取出字符拼接字符串。该方法的缺点是相同的字符不会重复取。

    function make_password( $length = 8 )
    {
     // 密码字符集,可任意添加你需要的字符
     $chars = array('a', 'b', 'c', 'd', 'e', 'f', 'g', 'h', 
     'i', 'j', 'k', 'l','m', 'n', 'o', 'p', 'q', 'r', 's', 
     't', 'u', 'v', 'w', 'x', 'y','z', 'A', 'B', 'C', 'D', 
     'E', 'F', 'G', 'H', 'I', 'J', 'K', 'L','M', 'N', 'O', 
     'P', 'Q', 'R', 'S', 'T', 'U', 'V', 'W', 'X', 'Y','Z', 
     '0', '1', '2', '3', '4', '5', '6', '7', '8', '9', '!', 
     '@','#', '$', '%', '^', '&', '*', '(', ')', '-', '_', 
     '[', ']', '{', '}', '<', '>', '~', '`', '+', '=', ',', 
     '.', ';', ':', '/', '?', '|');
     // 在 $chars 中随机取 $length 个数组元素键名
     $keys = array_rand($chars, $length); 
     $password = '';
     for($i = 0; $i < $length; $i++)
     {
     // 将 $length 个数组元素连接成字符串
     $password .= $chars[$keys[$i]];
     }
     return $password;
    }

    方法四(推荐:速度最快):

    算法简单,代码简短,只是因为md5()函数的返回值的缘故,生成的密码只包括字母和数字,不过也算是一个不错的方法。算法思想:
    1、time() 获取当前的 Unix 时间戳
    2、将第一步获取的时间戳进行 md5() 加密,固定32位
    3、将第二步加密的结果,截取 n 位即得想要的密码

    function get_password( $length = 8 ) {
        $str = substr(md5(time()), 0, $length);
        return $str;
    }

    时间效率对比

    我们使用以下PHP代码,计算上面的 4 个随机密码生成函数生成 6 位密码的运行时间,进而对他们的时间效率进行一个简单的对比。

    <?php
    function getmicrotime()
    {
     list($usec, $sec) = explode(" ",microtime());
     return ((float)$usec + (float)$sec);
    }
     
    // 记录开始时间
    $time_start = getmicrotime();
     
    // 这里放要执行的PHP代码,如:
    // echo create_password(6);
     
    // 记录结束时间
    $time_end = getmicrotime();
    $time = $time_end - $time_start;
     // 输出运行总时间 
    echo "执行时间 $time seconds";
    ?>

    最终得出的结果是:
    方法一:9.8943710327148E-5 秒
    方法二:9.6797943115234E-5 秒
    方法三:0.00017499923706055 秒
    方法四:3.4093856811523E-5 秒

    可以看出方法一和方法二的执行时间都差不多,方法四运行时间最短,而方法三的运行时间稍微长点。

  • linux shell 命令行 wordpress 替换 谷歌字体 fonts.googleapis 一键命令

    最近谷歌字体又无法正常打开,打开wordpress 后台又很慢,所以我们只能用命令去替换谷歌字体了。我们这里使用的是奇虎360的公共库,具体命令如下:

    sed -i "s/https://fonts.googleapis.com/http://fonts.useso.com/g" `grep -lr "https://fonts.googleapis.com" /目录`
  • WordPress主题网站页面添加描述和关键词 php代码 包含搜索页 页面

    最近在写wordpress 主题,然后再网上找回来的代码发现,没有搜索页及普通页面的 关键词及描述。下面我们对网上的代码进行补充。代码如下:

    <title><?php wp_title( '_', true, 'right' ); ?></title>
    <?php 
    if (is_home()){  
    	$keywords = $description = get_bloginfo('description'); 
    } elseif (is_single()){  
    	$tags = wp_get_post_tags($post->ID);  
    	foreach ($tags as $tag){   
    		$keywords = $keywords.$tag->name.",";  
    	}  
    	$keywords = rtrim($keywords, ', ');  
    	if($post->post_excerpt){   
    		$description = $post->post_excerpt;  
    	}else{   
    		$description = mb_strimwidth(strip_tags(apply_filters('the_content',$post->post_content)),0,200);  
    	} 
    } elseif (is_page()){  
    	$keywords = get_post_meta($post->ID, "keywords", true);  
    	$description = get_post_meta($post->ID, "description", true); 
    } elseif (is_category()){  
    	$keywords = single_cat_title('', false);  
    	$description = category_description(); 
    } elseif (is_tag()){  
    	$keywords = single_tag_title('', false);  
    	$description = tag_description(); 
    } elseif(is_search()) {
        $keywords = $s;
        $description = "Search result of ".$s;
    }
    $keywords = trim(strip_tags($keywords)); 
    $description = trim(strip_tags($description)); 
    ?> 
    <meta name="keywords" content="<?php echo $keywords; ?>" /> 
    <meta name="description" content="<?php echo $description; ?>" />
    <link rel="canonical" href="<?php echo get_permalink($post->ID);?>" />

    欢迎各位大神做补充~

  • 榨干那些网盘/视频 提取视频地址 整合Discuz论坛 在线播放解决方案 图文教程

    前面我们介绍了 《榨干那些网盘/云盘 提取视频地址 整合wordpress 在线播放解决方案 图文教程》下面我们写一下Discuz 论坛的代码设定。

    代码部分:

    请参考 榨干那些网盘/云盘 提取视频地址 整合wordpress 在线播放解决方案 图文教程 步骤中的 1-7 步。

    注意这里的目录结构。播放器 player 文件夹在网站根目录中。

    QQ截图20160301165137

     

    后台部分设定:

    1、使用管理员登陆dz论坛域名/admin.php 总后台。依次点击:界面–>编辑器设置–>Discuz! 代码,然后添加一个iframe 标签。

    QQ截图20160301164824

    QQ截图20160301162712

    这里的图标可以自行上传,目录到网站目录下的:static/image/common/ ,填入名称对应即可。

    保存提交。

    2、点击刚才添加的 iframe 标签的详情。具体编辑如下:

    替换内容值:

    <iframe width=”100%” scrolling=”no” height=”480″ align=”middle” frameborder=”no” src=”{1}” hspace=”0″ vspace=”0″ marginheight=”0″ marginwidth=”0″ name=”tv”></iframe>

    例子:

    [iframe]1[/iframe]

    解释:

    [iframe]1[/iframe]

    参数个数:

    1

    嵌套次数:

    1

    允许使用此代码的用户组:

    管理员(不然所有人都可以插入iframe了)。

    QQ截图20160301161847

    QQ截图20160301161902

    保存提交。

     

    前台发帖部分:

    1、发帖,选择“高级模式”

    QQ截图20160301162143

    2、点击最右边,我们刚刚添加的 iframe 图标 , 勾选 “纯文本”,填入参数。这里的参数就是视频地址了。

    https://zg.yangsifa.com/player/video.php?url=www.acfun.tv/v/ac2546220

     

    QQ截图20160301164454

     

    点击“提交”后,变成:

    QQ截图20160301164615

    保存,发布即可~

     

  • 榨干那些网盘/视频 提取视频地址 整合wordpress 在线播放解决方案 图文教程

    现在大家都知道百度、金山、乐视等各大网盘都有了在线播放了。即使提取到地址也会经常会变动,所以没法使用。下面我们给出大家一个解决方案。可以在线提取视频地址,然后整合进wordpress 的方案。

    这里要感谢一下:老狼 ,提供的视频接口。为了更好的服务大家,有条件的小伙伴可以赞助一下老狼!!!

    演示:免费电影在线播放

    wordpress 提取网盘视频 在线播放 整合方案图文教程:

    1、打开网址:http://zg.yangsifa.com/

    2、点击:ApiKey(一键获取),直达地址:http://zg.yangsifa.com/login?如下图:

    QQ截图20160229093516

    3、使用QQ授权登陆。

    4、复制ApiKey , 一会需要用到。

    QQ截图20160229093822

    5、下载:?Ckplayer播放器调用例子zip包,解压密码为自己的 ApiKey 值。

    QQ截图20160302093835

    6、在wordpress 根目录,新建一个player文件夹,将zip解压进去。

    QQ截图20160229094544

    7、打开 config.php ,修改赋值,ZG_APIKEY 这是我们刚才复制的授权码,URL_KEY 这里是随机字符串,目的是为了防止别人调用我们的播放接口。

    QQ截图20160229145742

    8、新建一个wordpress 页面或文章,填入一个iframe代码:

    <iframe src="/player/video.php?url=www.acfun.tv/v/ac2546220" name="tv" width="100%" height="480" frameborder="no" marginwidth="0" marginheight="0" scrolling="no" align="middle"></iframe>

    QQ截图20160229095112

    注意:填入时,必须要选择文本,否则无法使用iframe代码。

    此处的 /player/video.php?url=www.acfun.tv/v/ac2546220,这里的url值可以是下列视频网站中的任何一个(VIP视频不能播放)。

    QQ截图20160229100529
    (更多…)

  • 升级了#Windows10#系统后XAMPP #Apache#不能启动 解决方案 图文教程

    前几天刚刚升级了win10系统,折腾了一阵总算是弄利索了,用起来还是蛮好的,就是担心以后一些软件上未必能完美兼容,尤其是一些建站的朋友们,可能对环境的稳定性要求会高些。

    今天鄙人就遇到这个问题,因为弄一些网站的事情,需要用到XAMPP的建站集成包,自从升级了Win10系统后XAMPP中Apache不能启动了。

    如下图所示:

    升级了Win10系统后XAMPP中Apache不能启动的解决办法

    相信很多使用win10系统的建站朋友也会遇到这个问题,其实也不算什么问题,如果的确不知道怎么解决的,那请继续看下去。本站会分享一下Win10系统XAMPP中Apache不能启动的解决办法。

    第一步:检查Apache的端口是否被占用

    因为Apache使用的是80端口,从上面的图片可以看到。所以一把思路就是想检查端口是否有占用或者冲突等。

    方法是:快捷键”win+R”,打开运行,然后进入dos窗口,接着输入“netstat -aon | findstr :80”回车运行。如图所示:

    升级了Win10系统后XAMPP中Apache不能启动的解决办法

    Win10系统80端口被System占用 造成Apache不能启动的解决办法

    从上面的dos窗口中能看出,pid是4的进程占用着80端口,这还是一个系统进程,且不好kill掉。

    第二步:修改注册表参数

    1、打开注册表:regedit。

    方法:快捷键”win+R”,打开运行输入“regedit”回车即可。如下图:

    win10打开regedit的方法

    2、找到:HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesHTTP

    3、在右边找到Start这一项,选中后右键“修改”将“数值数据”“3”改为:0,如图所示:

    Win10系统80端口被System占用 造成Apache不能启动的解决办法

    4、重启系统,System进程不会占用80端口

    重启之后,再启动Apache,看到Running就可以了。如图所示:

    升级了Win10系统后XAMPP中Apache不能启动的解决办法

    注:本方法鄙人试过是有效的,因为win10系统尚有很多未知兼容性问题,不保证所有人的情况都绝对一样。

  • nginx 反向代理配置实例 及 CC防护iptables配置 教程

    nginx反向代理实例

    一、nginx 反向代理配置文件示例:

    server
    {
    listen          80;
    server_name     jiloc.com;
    location / {
    proxy_pass          http://cache.jiloc.com/;
    proxy_redirect      off;
    proxy_set_header    X-Real-IP       $remote_addr;
    proxy_set_header    X-Forwarded-For $proxy_add_x_forwarded_for;
    }
    }
    

    二、最简单的前端全缓存+反向代理脚本

    mkdir /home/cache/path -p #新建2个目录,放置缓存文件
    mkdir /home/cache/temp -p

    修改 /usr/local/nginx/conf/nginx.conf 新增以下代码,主要是缓存相关设置,请放置于 http{ ##这里 } 中,一般加在 log_format 上面或下面均可:

    client_body_buffer_size  512k;
    proxy_connect_timeout    5;
    proxy_read_timeout       60;
    proxy_send_timeout       5;
    proxy_buffer_size        16k;
    proxy_buffers            4 64k;
    proxy_busy_buffers_size 128k;
    proxy_temp_file_write_size 128k;
    proxy_temp_path   /home/cache/temp;
    proxy_cache_path  /home/cache/path levels=1:2 keys_zone=jiloc:500m inactive=7d max_size=30g;
    #500m是内存占用,7d是7天无访问删除,30g是缓存占具硬盘空间

    以下为虚拟主机配置文件,可另存成 .conf 放置于 vhost 下面:

    server
    {
    listen          80;
    server_name     jiloc.com; #主机名
    location / {
    proxy_cache cache_one;
    proxy_cache_valid  200 304 3d; #正常状态缓存时间3天
    proxy_cache_key $host$uri$is_args$args;
    proxy_pass          http://cache.jiloc.com/; #反代的网站
    proxy_redirect      off;
    proxy_set_header    X-Real-IP       $remote_addr;
    proxy_set_header    X-Forwarded-For $proxy_add_x_forwarded_for;
    expires 10d; #默认10天缓存
    access_log  /home/wwwlogs/jiloc.log  access; #日志文件
    }
    }

    点击几下网站,df -sh 命令,查看 /home/cache 目录大小,即可测试是否缓存成功。此脚本为前端全缓存,后端动态更新后,前端不会自动修改。可手动清理cache目录下文件。这个方法,可以用纯静态的形式来防CC,如果你的动态博客,受到CC攻击,可以尝试一下。

    三、LNMP简单的一些防CC的办法

    观看生成的.log日志文件,判断来路,直接301百度:

    if ($http_referer ~* mi5.gov ) {
    rewrite ^(.*)$ http://www.baidu.com/ permanent;
    }

    观看生成的.log日志文件,判断浏览器特征码,直接301百度:

    if ($http_user_agent ~* firefox4.0 ) {
    rewrite ^(.*)$ http://www.baidu.com/ permanent;
    }

    根据特征码,直接查找.log文件,并iptables封死相应IP:

    cat com.log | grep 'Mozilla/5.0' | awk '{print "iptables -I INPUT -p tcp --dport 80 -s ", $1, "-j DROP"}'| sort -n | uniq | sh
WeChat
↑