【良哥运维干货】如何安全使用服务器？

说在前面：千万不能再用这三种密码

1、弱口令

弱口令扫描无所不在，像我们的官网服务器，几乎每隔几分钟就被扫一次，任何时候，任何场景，不要使用123456,admin这样的弱口令，哪怕你就是改个简单密码给某人登陆下后台，几分钟后就改回来也有极高的被扫风险

2、陈年密码

你的QQ密码、邮箱密码、服务器密码、微博密码、微信密码等等，都是一样的，或者都是从接触互联网就在用的密码，这很恐怖，在你漫长的互联网使用过程中，你可能注册了很多站点的会员，在长期使用过程中，你的密码可能早已泄露，说不定你到某工库一查，发现你所有在用的密码都在上面

3、拼接密码

你的银行卡密码是你或你家人的生日，你的微信密码是你的姓名拼音+生日/电话/准考证号码，也可能是其它个人信息的拼接，这种密码极容易被有心人暴力破解，只要掌握一定量你的私人信息就很容易猜出你当前可能在用的密码

一：面板安全

说明：面板是你的服务器管理窗口，所以面板安全至关重要，千要不要嫌一点点麻烦就放任不管，下面就来说说面板需要做哪些安全设置比较稳妥

1、安装好面板后第一时间修改管理员用户名及密码

2、修改面板端口，建议使用5位端口，如：39581

3、为面板绑定一个比较复杂的三级域名，这个域名你可以真实解析，也可以通过您的家用或办公电脑中hosts过去，如： Ai80093ymdHis000.bt.cn

4、若条件允许，可以设置许可IP

5、若长期不需要登陆面板，可以将面板暂时关闭，(并不影响面板中的计划任务及守护程序)

二：系统及网络安全

1、定期检查并修复系统漏洞

2、开启防火墙，只放行要用上的端口

3、修改SSH端口

4、禁Ping

5、若你长期不需要登陆SSH，请在面板中将SSH服务关闭

6、安装悬镜、云锁、安全狗等安全软件(只安装一个)

三：网站安全

1、隐藏后台管理入口

2、除了update/cache等少数目录，其它所有目录都给只读权限

3、在nginx/apache站点配置中限制除入口目录及资源目录以外的所有目录的访问权限

4、若网站程序支持，尽量使用php5.4以上的版本

5、如非必要，不要给站点创建FTP，或使用完就删除或停用站点的FTP帐户

6、如非必要，不要对外开放3306端口，并隐藏好phpmyadmin位置，最好设个访问密码

7、尽量开启SSL(HTTPS)

8、保护好网站源码及数据库备份，请不要将数据库备份及网站源码包放在站点根目录

9、若你使用Nginx，可在面板中开启WAF防火墙，可有效防止绝大多数web攻击

良哥 发表于 2017-7-20 11:56
只说Nginx：

如果要禁止访问log、app、home、template目录，并返回404错误：

返回404，还是走服务器预先搭好的404页面，很颓废。

不如return 到$scheme://domain.tld，还能给首页加点访问量，看起来数据上漂亮一点

赞一个   密码可以采用 高难度 的md5密文

良哥运维干货，后面陆续有来，期望是做成一个做运维的人都知道的专栏文章

在nginx/apache站点配置中限制除入口目录及资源目录以外的所有目录的访问权限
这个具体怎么设置？

nginx高版本的没有防火墙功能吧。

tian3k 发表于 2017-7-19 18:09
nginx高版本的没有防火墙功能吧。

nginx1.12和openresty都编译了waf模块

彩彻区明i 发表于 2017-7-19 14:20
在nginx/apache站点配置中限制除入口目录及资源目录以外的所有目录的访问权限
这个具体怎么设置？ ...

只说Nginx：

如果要禁止访问log、app、home、template目录，并返回404错误：

1. if ($uri ~ ^/(log|app|home|template)/){
   
2.       return 404;
   
3. }

复制代码

如果要禁止访问log.app.home.template目录，并返回404错误：
这个没设置好吧,

良哥 发表于 2017-7-20 11:56
只说Nginx：

如果要禁止访问log、app、home、template目录，并返回404错误：

请问良哥：如何在nginx下，禁止通过IP地址访问网站？

文静的黑猫 发表于 2018-4-4 10:10
请问良哥：如何在nginx下，禁止通过IP地址访问网站？

你把IP地址作为域名，绑定在一个主机头上，然后，这个主机头上对应着404页面。不就解决了吗

hsxnet 发表于 2018-4-4 11:45
你把IP地址作为域名，绑定在一个主机头上，然后，这个主机头上对应着404页面。不就解决了吗
...

具体修改哪个文件，添加哪个命令行呢？偶是惭愧，都不好意思问了。。。。

安装 阿里云安骑士可以吗

hsxnet 发表于 2018-4-4 11:45
你把IP地址作为域名，绑定在一个主机头上，然后，这个主机头上对应着404页面。不就解决了吗
...

这个试过了，普通打开可以禁止，但是加了https一样的绕过

wo是风儿 发表于 2018-6-27 11:33
这个试过了，普通打开可以禁止，但是加了https一样的绕过

  listen 80 default_server;
        listen 443 ssl http2;
    server_name x.x.x.x;
    return 444;
修改就可以了