首先使用命令查看是否已安装所需要的模块
nginx -V若没有找到需要的模块，则需要编译安装。但是宝塔面板中安装的 nginx 如果像自行安装的 nginx 一样的方式去编译可能会出问题。宝塔面板有自己的添加模块方式。
在宝塔面板的软件商店找到 nginx，如果已安装则需要先卸载，卸载不会删除已有网站的配置文件（保险起见可以先备份一下），且安装时原有的模块不需要重新填写。
选择编译安装，添加自定义选装模块：
以添加“--with-http_auth_request_module”模块为例，名称按格式填写即可，模块参数填写--with-http_auth_request_module，如添加其它模块，按需填写前置脚本。添加完成后，启用它：
开始安装，等待完成。
要在 Alibaba Cloud Linux 3 上设置开机启动 ossftp，你可以通过创建一个系统服务来实现。以下是具体步骤：
安装 ossftp：
按照阿里云官方文档安装 ossftp。
创建服务文件：
首先，你需要创建一个服务文件。使用以下命令创建一个新的服务文件：
sudo nano /etc/systemd/system/ossftp.service编辑服务文件：
在打开的编辑器中，添加以下内容：
[Unit]
Description=OSS FTP Service
After=network.target
[Service]
ExecStart=/bin/bash /root/ossftp-1.2.0-linux-mac/start.sh
Restart=always
User=root
[Install]
WantedBy=multi-user.target这里的 ExecStart 指向你的 start.sh 脚本的路径。
保存并退出。
重新加载系统服务：
运行以下命令以重新加载系统服务，使新创建的服务生效：
sudo systemctl daemon-reload启用服务开机启动：
使用以下命令启用服务，使其在系统启动时自动运行：
sudo systemctl enable ossftp.service启动服务：
你可以立即启动服务以测试其是否正常工作：
sudo systemctl start ossftp.service检查服务状态：
使用以下命令检查服务的状态，确保它正在运行：
sudo systemctl status ossftp.service如果一切设置正确，ossftp 应该会在每次系统启动时自动运行。
如果在你的系统上没有安装 nano 编辑器，你可以使用其他文本编辑器，比如 vi 或 vim。
如果你需要安装 nano，可以使用以下命令：
sudo yum install nano登录 UCenter，添加应用
选择 DiscuzX，并填写名称和密钥等信息
正常的话，提交后会自动更新缓存文件 /uc_server/data/cache/apps.php，如果没有更新，检查添加这个文件的写入权限，并在后台更新缓存。
在编辑应用界面底部可以看到“应用的 UCenter 配置信息”
复制这段内容，粘贴到 /config/config_ucenter.php。
在 Discuz! 控制面板 - 站长 - UCenter 设置 中可以看到这些配置信息。标签名为灰色的是从配置文件读取的，无法在此修改。
返回 UCenter 中心的应用列表可以看到“通信成功”
今天早上同事反映论坛某管理账号无法登录，于是我尝试用创始人账号登录，也不行，第一反应就是中招了。
于是进阿里云控制台，发现云安全中心有许多安全警告，类型是网站后门，幸好 nginx 中设置了仅部分文件可执行 PHP，这些后门文件无法被执行。
尝试在 config_global_default.php 文件中添加创始人，但账号必须是副站长等管理账号才能成为创始人。
于是借用一个小号，从表 pre_ucenter_members 中将这个小号的 password 和 salt 复制到创始人账号中，这样创始人账号就可以用这个小号的密码登录了。
进入论坛后台，在 工具-运行记录-系统记录-后台访问 中查看入侵时间段的记录（操作、时间、IP 等），可搜索。
发现基本上在操作模板管理和专题管理。
对比时间，发现进入后台操作在先，上传后门在后。
查询 web 访问日志，通过访问文件路径或 IP 查询，在进入论坛后台之间，他进入了 UCenter 的后台，但是再往前就没有记录了。
因此基本可以确定：
黑客从 UCenter 修改了某管理员账号的密码（可能是利用漏洞），然后登录论坛后台修改了创始人的密码（可能也是用 UCenter 改的），通过模板管理和专题管理功能的上传功能上传了后门文件。
索性他没有对数据进行破坏性处理，也没有挂马，只是发现后门文件无法执行就放弃了。
要将一个服务公开给外部访问，必须开放端口，例举一些场景的端口映射：
VMware 实现宿主机端口映射到虚拟机端口：
打开 VMware 的菜单中的 编辑 - 虚拟网络编辑器，
在弹出窗口中表格中的选中“NAT”项，点击下方的“NAT设置”（若无法操作需要先点击“更改设置”允许）
在“NAT设置”中“添加”，填写主机端口和虚拟机端口、虚拟机IP地址。
这样，宿主机就能访问到虚拟机中的服务了。
在 Windows 11 的防火墙中允许端口：
在“设置”或“控制面板”中打开防火墙，“高级设置”
在“入站规则”中“新建规则”
选择“端口”并填写，完成。
这样，局域网的其它电脑就能访问到这台 Windows 的服务了。
小米路由器：
登录路由器，进入“高级设置”，
切换到“端口转发”，添加规则，
这样，外网就能通过路由器的外网IP来访问局域网中的内网服务了。
华为路由器 AX3 Pro：
登录路由器，进入“更多功能”，
展开“安全设置”，选择“NAT服务”，
点击“+”号设置端口映射。
这样，外网就能通过路由器的外网IP来访问局域网中的内网服务了。
H3C ER3200G2 路由器：
登录路由器，展开“高级设置”，“地址转换”，
切换到“虚拟服务器”，“新增”，
填端口和内部服务器IP，完成。
这样，外网就能通过路由器的外网IP来访问局域网中的内网服务了。
云服务器 ECS - 安全组
云服务器 ECS - 快照 - 自动快照策略 - 关联云盘
云监控 - 应用分组：添加对应的服务器
云监控 - 主机监控 - 主机与插件操作 - 安装/升级Agent
云安全中心 - 漏洞管理 - 漏洞管理设置：根据操作系统勾选对应的 ECS
云安全中心 - 漏洞管理：一键扫描
云安全中心 - 防勒索：安装客户端并配置策略资产
云安全中心 - 主机规则管理：配置主机和防御策略，防暴力破解编辑策略
* 本文提及的部分功能可能需要付费
相关内容
宝塔面板中-安全-系统防火墙 功能非常丰富，特别是“地区规则”用来屏蔽来自国外的请求非常有用，那些通过 URL 来找网站漏洞的恶意请求大多来自国外。但是添加规则经常无反应
于是找到这个功能对应的配置文件：/etc/firewalld/zones/public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
<short>Public</short>
<description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
<service name="ssh"/>
<service name="dhcpv6-client"/>
<port protocol="tcp" port="80"/>
<port protocol="tcp" port="443"/>
<masquerade/>
<rule family="ipv4">
<source address="43.131.232.135"/>
<drop/>
</rule>
<rule family="ipv4">
<source address="103.150.11.45"/>
<drop/>
</rule>
<rule>
<source ipset="US"/>
<drop/>
</rule>
<rule>
<source ipset="GB"/>
<drop/>
</rule>
</zone>修改完成后重启防火墙。
但是看到的效果好像并不一致，甚至有时候服务器重启后防火墙是关闭的，但是有时候又是生效的。
关键的问题是CPU占用异常高。
反正宝塔的系统防火墙功能挺好挺强大，但是用起来不稳定不顺手，有些暴殄天物了。
相关阅读：
2024年8月30日补充 ：宝塔面板中配置禁用IP等规则时，提示保存成功或未提醒是否成功，但效果是未成功。其实在宝塔自己的配置里已经记录了（包含备注），但在系统防火墙配置文件中未更改成功，手动修改系统防火墙配置文件就能完全修改成功。（系统防火墙配置文件中没有备注信息，根据IP地址等规则与宝塔自己的配置文件里的记录关联后，在宝塔面板安全模块中展示出来就有备注了。）
2024年8月30日下午补充：在宝塔的软件商店找到这个应用，看到红色的说明，啥都明白了：
于是果断关闭了系统防火墙，开始研究其它替代方案。
添加勾子 eventContent：
var myCalendar = new FullCalendar.Calendar(document.getElementById('myCalendar'), {
eventContent: function (arg) {
return {
html: arg.event.title,
};
},
});以以下版本为例：
PHP 7.3
sqlsrv 5.6.0
步骤：
安装 PHP 7.3
加入微软的源
curl https://packages.microsoft.com/config/rhel/7/prod.repo > /etc/yum.repos.d/mssqlrelease.repo安装微软 ODBC 驱动、命令行工具及开发包
yum install msodbcsql mssql-tools unixODBC-devel下载 sqlsrc 扩展
wget http://pecl.php.net/get/sqlsrv-5.6.0.tgz解压（注意最好是 wget 直接下载解压的，如果是 SFTP 上传的，用户是 root 编译会出错）
tar -zxvf sqlsrv-5.6.0.tgz进入
cd sqlsrv-5.6.0/www/server/php/73/bin/phpize./configure --with-php-config=/www/server/php/73/bin/php-configmake && make install添加扩展
echo "extension = sqlsrv.so" >> /www/server/php/73/etc/php.ini重新加载配置
/etc/init.d/php-fpm-73 reload
解析域名（非网站域名）、修改实例名称、主机名
设置阿里云（重要）
远程连接进入 ECS（若解析未生效可以先用 IP）（若新服默认使用 22 端口，可在阿里云控制台登录系统，或先在安全组临时放行 22 端口）
修复系统漏洞
将磁盘挂载到目录（fdisk、df 命令参考：https://xoyozo.net/Blog/Details/SSH）
安装宝塔面板（本文以宝塔面板方案为例，选择任何你喜欢的环境部署方案都行）。可以在阿里云控制台ECS实例页安装扩展程序
临时放行宝塔面板端口，进入宝塔面板（http方式），或用命令更改宝塔面板端口
配置面板 SSH、添加新的安全端口、面板设置
更改 SSH 默认端口（参：https://xoyozo.net/Blog/Details/change-default-port）
安装 nginx、PHP 等
配置 PHP 扩展（Redis、sqlsrv（注意选择兼容的版本）、memcached 及端口）
创建网站，配置网站（路径、伪静态等）
迁移网站文件（参：https://xoyozo.net/Blog/Details/SSH）
仔细对比新旧网站的配置文件（特别是 .php 的访问权限，参：https://xoyozo.net/Blog/Details/nginx-location-if）
设置写入目录（使用 rsync 同步的文件会同步用户和权限）
解析域名（先改 hosts 测试网站功能）
更改内网其它 ECS 上的 hosts
关闭原 ECS（能马上发现问题，不然等运行一段时间才发现问题就麻烦点）
设置 FTP
迁移“计划任务”
所有网站和软件的配置文件都要使用 WinMerge 进行对比
移除“宝塔面板-安全”和“阿里云-ECS-安全组”中不用的端口
再次检查阿里云设置
私网中若有 ECS 的 hosts 中域名直接绑定到私网 IP 的，做相应更改
其它：ERP 添加到期提醒、WAF 增加该 ECS、备份工具增加该 ECS
更多文章：