Web 服务器与系统安全

基本原则

  • 最小的权限+最小的服务=最大的安全。保持简单，程序只实现指定的功能。坚持最小权限，把可能造成的危害降到最低。
  • 对操作者（IP）的所有操作默认不信任，采用白名单机制，只放行已知的操作。
  • 永远不要信任用户的输入。对所有的输入进行前台和后台两次检查。
  • 操作之前先备份。
  • 密码复杂度：长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类

安全范围

  • 操作系统安全加固
  • Web 程序安全
  • 数据库安全
  • 接口安全
  • 其他系统服务安全

操作系统安全加固

  • 禁用不使用的用户
  • 关闭不必要的端口和服务
  • 禁止root直接远程登录
  • 防止一般网络攻击: 禁ping等
  • 其他。
more >>
mgmt

查看全文 >>

CentOS 安全加固

CentOS 加固

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
# 用户名
USR=ajhealth
# 密码：大小写、特殊字符、数字，大于8个字符
authconfig --passalgo=sha512 --update
### 移除空闲时间大于15分钟的用户
echo "readonly TMOUT=900" >> /etc/profile.d/os-security.sh
echo "readonly HISTFILE" >> /etc/profile.d/os-security.sh
chmod +x /etc/profile.d/os-security.sh
### 禁用不使用的用户和组
cp /etc/passwd{,.bak}
sed -i "/^adm:x\|lp:x\|shutdown:x\|halt:x\|uucp:x\|operator:x\|games:x\|gopher:x\|ftp:x\|nfsnobody:x\|nfsnobody:x\|postfix:x/ s/^/# /" /etc/passwd 
cp /etc/group{,.dist}
sed -i "/adm:x\|lp:x\|uucp:x\|games:x\|gopher:x\|video:x\|dip:x\|ftp:x\|audio:x\|floppy:x\|postfix:x/ s/^/# /" /etc/group
### 关闭不使用的服务
chkconfig --list | grep '3:on'
...
### 创建 sudo 用户
visudo
### SSH安全设置
cp /etc/ssh/sshd_config{,.bak}
sed -i "s/PermitRootLogin yes/PermitRootLogin no/" /etc/ssh/sshd_config # 禁止root直接远程登录
sed -i "/^#Port 22/a Port 11011" /etc/ssh/sshd_config # change port
sed -i "/^#IgnoreRhosts/ s/^#//g" /etc/ssh/sshd_config # ignore Rhosts files
echo "auth required pam_tally2.so deny=6 unlock_time=180 even_deny_root root_unlock_time=180" >> /etc/pam.d/login # 限制登录失败次数并锁定
#### 登录IP限制
##### 更严格的限制是在sshd_config中定死允许ssh的用户和来源ip：
echo AllowUsers $USR@10.116.44.24 >> /etc/ssh/sshd_config
# echo AllowUsers $USR@10.116.44.24 hadoop@10.116.44.24 hadoop@hadoop1 hadoop@10.116.43.165 >> /etc/ssh/sshd_config
tail -2 /etc/ssh/sshd_config
# restart sshd:
service sshd restart
[
	或者使用tcpwrapper:
	vi /etc/hosts.allow
	sshd:172.29.73.23
	sshd:172.29.73.
	vi /etc/hosts.deny
	sshd:all
]
#### 减少history命令记录
sed -i "$ a \\
if [ \"\$SHLVL\" = 1 ]; then\\
  history -c\\
fi
" ~/.bash_logout
sed -i "$ a \\
if [ \"\$SHLVL\" = 1 ]; then\\
  history -c\\
fi
" $(eval echo ~$USER)/.bash_logout
#### 禁ping
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo "echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all" >> /etc/rc.d/rc.local
%% --- ---
#### 增强特殊文件权限
给下面的文件加上不可更改属性，从而防止非授权用户获得权限
chattr +i /etc/passwd
chattr +i /etc/shadow
chattr +i /etc/group
chattr +i /etc/gshadow
chattr +i /etc/services #给系统服务端口列表文件加锁，防止未经许可的删除或添加服务
chattr +i /etc/pam.d/su
chattr +i /etc/ssh/sshd_config
### 显示文件的属性
lsattr /etc/passwd /etc/shadow /etc/services /etc/ssh/sshd_config
### 注意：执行以上 chattr 权限修改之后，就无法添加删除用户了。
### 如果再要添加删除用户，需要先取消上面的设置，等用户添加删除完成之后，再执行上面的操作，例如取消只读权限chattr -i /etc/passwd。（记得重新设置只读）
#### 配置只能使用密钥文件登录
**注意：以普通账号操作，不是以root账号操作**
ssh-keygen -t rsa -b 2048
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):   //默认路径，回车
Enter passphrase (empty for no passphrase):     //输入你的密钥短语，登录时使用
Enter same passphrase again: 
cat ~/.ssh/id_rsa.pub >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
cat ~/.ssh/id_rsa
# save the content to local, and then:
rm ~/.ssh/id_rsa*
sed -i "/#RSAAuthentication\|#PubkeyAuthentication\|#AuthorizedKeysFile/ s/^#//" /etc/ssh/sshd_config 
sed -i "s/PasswordAuthentication yes/PasswordAuthentication no/" /etc/ssh/sshd_config
### 防止IP欺骗
cat >> /etc/host.conf <<EOF
order hosts,bind
multi on
nospoof on
EOF
mgmt

查看全文 >>

接口设计规范

概述

接口形式主要为 RESTful，但又不拘泥于 RESTful。

一个完整的 API 请求过程包括：

  1. HTTP请求方式
  2. URL Endpoint
  3. 请求数据
  4. 响应结果

下面分述之。

HTTP请求方式

HTTP Operation Similar to SQL Stmt Description
GET SELECT 获取，查找
POST CREATE 新增创建
PUT UPDATE 在服务器更新资源（客户端提供改变后的完整资源）
PATCH UPDATE 在服务器部分更新资源（客户端提供改变的属性）
DELETE UPDATE 删除

URL Endpoint

URI指向的是唯一的资源对象/资源集合列表。
统一所有的 endpoint 使用复数使得 URL 更加规整，让API使用者更加容易理解，对开发者来说也更容易实现。

URL Endpoint 组成

一个完整的 URL Endpoint 依次是：

  • 网络协议(HTTP, HTTPS)
  • 服务器地址
  • 版本
  • 接口名称
  • 参数（可选）
    • GET 参数使用Query String 格式：如：查询时，过滤条件使用 Query String，如 ?offset=0&limit=10&sort=_created_at；参数列表应该被 encode 过
    • 用来描述数据或者请求的元数据放Header中，例如 X-Result-Fields

示例：

GET https://api.example.com/v1/users/123456/profiles

说明：

  • API 与用户的通信协议，总是使用 HTTPS 协议。
  • 尽量将API部署在专用域名之下：api.example.com
  • 不使用大写字母；使用中线 - 代替下划线 _
  • 版本控制的另一种做法是，将版本号放在HTTP头信息中，但不如放入URL方便和直观
  • 一些常见的参数。
    • ?limit=10：指定返回记录的数量
    • ?offset=10：指定返回记录的开始位置。
    • ?page=2&per_page=100：指定第几页，以及每页的记录数。
    • ?sortby=name&order=asc：指定返回结果按照哪个属性排序，以及排序顺序。
    • ?user_type_id=1：指定筛选条件

接口分类

分为对资源对象的CURD操作，服务型接口和系统设置三种。

资源对象的CURD操作

GET https://~/$version/trades            获取trades列表  
GET https://~/$version/trades/:id        根据id获取单个trade  
POST https://~/$version/trades           创建trade  
PUT https://~/$version/trades/:id        根据id更新trade  
PATCH https://~/$version/trades/:id      根据id部分更新trade  
DELETE https://~/$version/trades/:id     根据id删除trade

服务型接口

使用 services 标识：

https://~/services/$version/server-name

示例：

GET https://~/services/$version/search?q=filter?category=file  搜索
PUT https://~/services/$version/queued/jobs                    往任务队列里面添加一个新的任务  
DELETE https://~/services/$version/queued/jobs/:id             根据id删除任务

系统设置

使用 settings 标识：

https://~/settings/$version/server-name

如：更改界面语言环境

PUT https://~/settings/$version/gui/lang  
{  
    "lang": "zh-CN"  
}
more >>
mgmt

查看全文 >>

研发与技术管理小结

在创业公司负责了几年的技术研发和管理，有自己的一点小心得，会陆续放在博客上来。

前言

在 Infosys 学到的要点： Methodologies, Process, Code Standard/Guideline/Best Practices, “Checklist”。

创业公司研发部较少有纯管理性的职位，一般要身兼核心模块框架开发和团队管理的职责。这就要求负责人有较深的技术背景，上马能写核心模块，下马能指导成员遇到的遇到难题，建立起技术上的威信；管理上刚柔并济，让人心服。

创业公司，最大的不变就是变化。公司到处都不完善，而不完善的地方即是机会。做好这个心理准备，将成长得更快。

先说说贯穿于整个工作中的“团队建设”、“开会”、“任务排期”、“文档协作”和“绩效考核”。

团队建设

公司，尤其是创业公司，最重要的是人，包括市场部人员、研发部人员和后勤人员等。
要保持团队，尤其是核心成员的稳定性，不仅在待遇上处于业界中上水平，还须在团队氛围和技能提升上让成员觉得这是一个好的队伍，值得一起共事。

定位：服务于研发团队，给一线团队创造一个良好的工作环境。在内，创造令人愉快的环境和氛围；公司内，协调好与市场、后勤等其他部门的关系，包括为团队向公司争取应得的利益。

  • 团队氛围：开放、互助
  • 技术提升：构建内部的技术 wiki 并建立技术分享机制
  • 定期的信息共享：让大家知道公司市场、运营情况；知道彼此在做什么，遇到了什么问题。
  • 管理能力提升，同时建立起人才梯队
  • 团队活动
    • 饭后大家一起散步聊天（是真的散步-_-），是很好的方式
    • 公司里没健身场地和器材，就在公司附近的健身场订了长期的羽毛球场地，每周三下班后一起去打球
    • 一月一次的聚餐
    • 提议中的家属日（尚未执行）

开会

每次开会前需要会议 Owner 准备议题，并将相关文档发送给参会者熟悉；开会一定要形成决议，会后要有可执行的 Action 和任务分配到相关人员。

任务排期与跟踪

排期：预估开发周期，制定项目开发进度，分解任务，分配任务。
执行任务过程中，每天/两天应有进度跟踪。如果使用项目管理软件（如 Worktile 或 Kanboard），成员应及时更新状态。

  • 方法：WBS
  • 工具：看板模式，如 Worktile；
  • 开发周期的预估很大程序上取决于负责人以前的经验。
  • 分配任务时需分配到具体负责人，要有优先级、检查项、deadline。
  • 了解每人性格、技术特点，从而匹配相关任务，并使其逐步提升。
more >>
mgmt

查看全文 >>

Docker: Getting Feet Wet: Build the LAMP Stack

Setup Docker with Vagrant

Get the vagrant-based docker env from DockerRoot Vagrant Box, which is tiny (only 12 MB) and contains the lastest version of docker (Linux kernel v4.1.6 and GLIBC, Docker v1.8.1). The direct download address is https://atlas.hashicorp.com/ailispaw/boxes/docker-root/versions/1.0.0/providers/virtualbox.box).

P.S. Some mini linux disto: Tiny Core Linux(on which boot2docker is based), yoctoproject, BusyBox, Buildroot.

Data-Only Container (Container-as-Volumn Pattern)

Tiny Docker Pieces, Loosely Joined:

Since I’ve spelled it out in such exhaustive detail, this may all seem like much ado about nothing…but, now that I finally grok the idea, I can see how data-only containers are so useful.

  • It’s the simplest way to share data among multiple containers.
  • It makes it easy to upgrade the application (or process) that operates on the data. For example, say we wanted to generate PDF files in addition to HTML files. All we need to do to accomplish that is to create an updated pandoc-convert Docker image.
  • Adding additional processes that operate on the data is equally easy. What if you wanted to push the HTML files to an Amazon S3, in addition to serving them locally? Just create a new s3sync Docker image.
more >>

查看全文 >>

搭建 Vagrant 开发环境

Basic

Usage

  • One of the most useful senario with Vagrant is to setup a network of serveral computing nodes to mimic a distributed system. Or even better, use Docker.

Preparation

Download offline file for instable network, esp. in case u r behind the “greatwall”:

Search the box in https://atlas.hashicorp.com/ for box name, version, then follow the format

https://atlas.hashicorp.com/puppetlabs/boxes/<boxName>/versions/<version>/providers/virtualbox.box

to construct the downloading url. e.g. https://atlas.hashicorp.com/puppetlabs/boxes/centos-7.0-64-puppet/versions/1.0.2/providers/virtualbox.box

Change the Storage Location

  • Press Win+R and type systempropertiesadvanced to bring up the “System Properties” dialog, click “Environment Variables…” button, and in the “User vairalbes for $USER” section, add a variable named VAGRANT_HOME, whose value is D:\your\vagrant\working\path.

Or use the command line:

SETX VAGRANT_HOME "D:\your\vagrant\working\path"
  • Change VirtualBox storage location: Open Virtalbox and navigate to File > Preference> General: Default Machine Folder: change to target location.
more >>

查看全文 >>

Pomodoro 番茄工作法

js

  • app: Pomodoro by Zheng Fu: a simple yet sufficient pomodoro tool.
  • begin of day: move activity from Activity Inventory Sheet to Todo Today sheet;
  • end of day: review
  • when finished a pomo: tag, cross finined task
  • 4 pomo: longer rest (15-30min)
  • if interrupted: mark “`”

原则：

  • 尽早开始： 烂的开始是完成的一半
  • 预留突发事情的时间
  • 拆分：1z：各份真题，各份预测题
  • 前有计划，后有总结
  • 舍得：把做完的划掉；把用完的web/app关掉
  • 一张图抓住时间管理的关键理念
  • 清空脑袋

详细说明：

一、5样工具

  1. 番茄计时器
  2. 铅笔和橡皮
  3. 今日待办清单（to do today），包括一部分留给计划外的待办事件
  4. 活动清单（Activity Inventory）
  5. 记录单

二、方法和步骤

  1. 把想要做的事情都记录在活动清单上，活动清单就像一个累积待办事项的仓库
  2. 每天早上从活动清单中挑选今天想做的事情抄入今日待办清单，按重要性排序并估测大致需要的番茄数
  3. 在今日待办清单上选出最重要的一件
  4. 开始一个番茄时间，倒计时25分钟，专注于你的工作，直到铃声响起
  5. 尽量保护你的番茄时间别被打断，如果有新想法或外部干扰，先记录下来，留到铃响之后处理
  6. 每个番茄时间结束后休息3-5分钟，4个番茄时间算一轮结束后休息15-30分钟
  7. 已经做完的事及时划掉
  8. 一天结束后在记录单中记录自己完成的番茄数，被打断的次数等等信息
  9. 将计划外且没完成的工作记回活动清单
  10. 分析和思考看看是否有需要改进

Ref:

查看全文 >>

tag:

    缺失模块。
    1、在博客根目录（注意不是yilia根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    2、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: true
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

Hello, I'm Fouding based in Xiamen, China. <br>This is my blog about life, career and technologies.