与“解析”相关的文章 - 𝓍𝑜𝓎𝑜𝓏𝑜.𝓃𝑒𝓉

不买高防 IP，照样抵挡攻击（域名篇）

前面写过一篇文章介绍了不买高防 IP，照样抵挡 DDoS 攻击（IP 篇），如果攻击的是域名（CC），那么...

本文适用场景：攻击的是 web 网址而非 IP，来源有许多各地的 IP 地址，每个 IP 地址每小时只有若干请求，但整个网站每分钟有数万请求量。

《小白鼠A》（贵）

阿里云有一款产品叫“Web 应用防火墙”，开通并接入云产品，试用按量付费即可。

在防护配置-Web核心防护中可配置各种规则，譬如：

“自定义规则”可添加网址/UA/IP/Cookie/等中包含某些关键词的请求；

“区域封禁”可按地区来限制请求；

另外还有“CC防护”等各种实用规则。

添加规则后记得关联实例。

配置完成后可在总览页面查看请求情况，如果攻击停止可关闭防火墙。

试用了12小时，平均每分钟请求2-5万次，消耗 15000SeCU，费用大概是750元。

《小白鼠B》（推荐）

阿里云有一款产品叫“边缘安全加速 ESA”，开通接入域名（注意填写域名时不要写 www）。

创建购买成功后会有一个 CNAME 域名，解析生效。配置 HTTPS 证书。

打开“我正在遭受攻击”，开启后站点进入严格防护模式，默认对所有 HTTP 请求做滑块挑战。这是非常能节省费用的操作，实测开启与不开启的数量相差20倍（具体视攻击强弱）。

另外，ESA 自带的“安全防护-WAF”中若想根据 URL 中包含某个关键词来拒绝请求，需要升级套餐。可以直接在“规则-重定向”设置 302 跳转也能达到类似的效果，但是节省流量的最好办法还是开启滑块。

费用的话，大部费用是由“客户端请求到边缘加速服务器的流量”和“边缘加速服务器响应给客户端的流量”组成的，而且滑块页面不计入流量。可免费试用。

在开启滑块的情况下，1分钟产生10M流量，基础版包含的50GB可以用3天。标准版（500GB）375元可以用一个月。（以我站实测为例，各站情况不同）。

具体费用在“计费管理-套餐管理-套餐总量 (月)-”查看。超过套餐的流量会使用CDN流量包抵扣。

ECS 获取客户端 IP 的问题有两种解决方案，1. 设置四层代理分析（企业版），2. 设置重定向规则，重定向到直接解析到该网站的另一个域名。

为了尽量减少滑块对用户体验的影响，建议加白名单：ESA-站点-安全防护-WAF-白名单规则，譬如添加省份规则，跳过全部规则（包括滑块）。

其它问题：滑块会拒绝蜘蛛？

其它相似产品：Cloudflare、腾讯云 EdgeOne。

----------------下面是停站维护时显示临时页面的做法----------------

被攻击期借用阿里云 OSS/CDN 显示“维护中”页面的方法。

首先让 AI 快速生成一个维护中的页面，上传到 OSS。

虽然这个文件有一个对应的 CDN 链接，但是域名解析使用“显性 URL”模式并不能正常访问到这个页面。

在阿里云 CDN 添加一个域名（也就是网站域名），会生成一个 CNAME 域名，网站域名 CNAME 到这个域名上。

配置这个 CDN 域名的 OSS 实例、HTTPS 等信息。

这样生效后，访问网站域名就能请求到这个 OSS 上了。

但是它并不像网站一样有默认文档，需要添加重写规则。

打开 CDN-域名管理-缓存配置-重写访问URL，添加，添加重写规则。

例：如果目标页面路径是 https://域名/index.html，那么重写规则就是：

^/(?!.*index\.html$).*$

也就是把所有除 /index.html 以外的路径全部重写到 /index.html。

下一步只要观察这个域名的实时流量和带宽，如果攻击停止了，将域名解析回 ECS。

CDN-统计分析-实时监控-访问数据-选择域名-查询。

xoyozo 22 天前

168

分享一个 Windows 资源管理器的文件名排序规则

using System.Runtime.InteropServices;

/// <summary>
/// Windows 资源管理器的文件名排序规则（允许在非 Windows 平台使用）
/// <para>调用 Windows API（StrCmpLogicalW 函数）实现，仅在 Windows 平台环境中使用</para>
/// <para>基本规则如下：</para>
/// <para>将文件名中的数字作为数值来处理。</para>
/// <para>不区分大小写。</para>
/// <para>字符类型的大致优先级顺序为：特殊符号 → 数字 → 字母。</para>
/// <para>对于中文文件名，排序方式取决于系统的区域设置：拼音(默认)、笔画。</para>
/// </summary>
public class FileLogicalComparer : IComparer<string>
{
    [DllImport("Shlwapi.dll", CharSet = CharSet.Unicode)]
    private static extern int StrCmpLogicalW(string psz1, string psz2);
    private static readonly bool IsWindows = RuntimeInformation.IsOSPlatform(OSPlatform.Windows);

    public int Compare(string? x, string? y)
    {
        // 处理 null 值情况
        if (x == null && y == null) return 0;
        if (x == null) return -1;
        if (y == null) return 1;

        try
        {
            if (IsWindows)
            {
                // Windows 平台：使用原生 API
                return StrCmpLogicalW(x, y);
            }
            else
            {
                // 非 Windows 平台：使用 C# 实现的回退方案
                return NaturalCompareFallback(x, y);
            }
        }
        catch (Exception) // 捕获 DllNotFound、EntryPointNotFoundException 等异常
        {
            // 异常时使用默认的字符串比较器
            return string.Compare(x, y, StringComparison.Ordinal);
        }
    }

    /// <summary>
    /// C# 实现的自然排序回退方案（代码来自 AI，未测试！）
    /// </summary>
    private static int NaturalCompareFallback(string x, string y)
    {
        if (x == y) return 0;

        int i = 0, j = 0;

        while (i < x.Length && j < y.Length)
        {
            if (char.IsDigit(x[i]) && char.IsDigit(y[j]))
            {
                // 提取连续数字并进行数值比较
                string num1 = ExtractNumber(x, ref i);
                string num2 = ExtractNumber(y, ref j);

                if (long.TryParse(num1, out long n1) && long.TryParse(num2, out long n2))
                {
                    if (n1 != n2)
                        return n1.CompareTo(n2);
                }
                else
                {
                    // 解析失败时按字符串比较
                    int strCompare = string.Compare(num1, num2, StringComparison.Ordinal);
                    if (strCompare != 0)
                        return strCompare;
                }
            }
            else
            {
                // 非数字字符直接比较
                if (x[i] != y[j])
                    return x[i].CompareTo(y[j]);

                i++;
                j++;
            }
        }

        return x.Length.CompareTo(y.Length);
    }

    /// <summary>
    /// 从字符串中提取连续的数字序列
    /// </summary>
    private static string ExtractNumber(string str, ref int index)
    {
        int start = index;
        while (index < str.Length && char.IsDigit(str[index]))
        {
            index++;
        }
        return str.Substring(start, index - start);
    }
}

xoyozo 4 个月前

2,189

hosts 配置不对 resty.http 生效

nginx.conf 中使用 resolver 设置了 DNS 后，nginx 会遵循这个指令，而不是直接使用系统的 hosts 配置。

所以，如果 resolver 设置了外部 DNS（譬如一般的公共 DNS），在 access_by_lua_block 中使用 resty.http 库发起对包含域名的网址的请求，会忽略 hosts 的设置。

解决方案：

1、修改 resolver 指向为本机 DNS。（AI 推荐，实测无效，可以研究一下配合 dnsmasq 使读取 hosts）

查看本机 DNS 的命令：

cat /etc/resolv.conf

或

nmcli dev show | grep DNS

2、request_uri 中直接请求带 IP 地址的网址。

要求这个网站允许直接使用 IP 地址访问。

需要禁用 SSL 验证（ssl_verify = false）。

xoyozo 5 个月前

3,886

在 access_by_lua_block 获取系统 CPU 使用率

http {
    ...

    lua_shared_dict cpu_cache 1m;  # 定义共享字典用于缓存 CPU 使用率
    access_by_lua_block {
        local cpu_cache = ngx.shared.cpu_cache
        local cache_time = cpu_cache:get("cache_time") or 0
        local current_time = ngx.now()

        if current_time - cache_time > 5 then  -- 每 5 秒更新一次
            local cpu_info = io.popen("top -bn1 | grep 'Cpu(s)'"):read("*all")
            local cpu_usage = cpu_info:match("(%d+%.%d+) id")  -- 获取空闲 CPU 百分比
            local cpu_used = 100 - tonumber(cpu_usage)  -- 计算使用率

            cpu_cache:set("cpu_usage", cpu_used)
            cpu_cache:set("cache_time", current_time)
        end

        local cpu_usage = cpu_cache:get("cpu_usage")
        ngx.log(ngx.INFO, "CPU 使用率: " .. cpu_usage .. "%")
        -- 将 cpu_usage 发送到远程鉴权接口，可根据服务器压力来决定是否拒绝一些不重要的请求
    }
}

代码解析：

共享字典：使用 lua_shared_dict 定义一个共享字典 cpu_cache，用于存储 CPU 使用率和缓存时间。

获取 CPU 使用率：在 access_by_lua_block 中，检查缓存时间，如果超过 5 秒，则重新获取 CPU 使用率，并更新共享字典。

记录日志：使用 ngx.log 将 CPU 使用率记录到 Nginx 日志中。

注意事项：

确保 Nginx 配置中已经加载了 Lua 模块（如 ngx_http_lua_module）。

根据实际需求调整缓存时间，以平衡性能和数据的实时性。

尝试过使用 ifconfig 或 ip 命令获取网卡流量，在宝塔面板中失败了，怀疑是权限问题，有空再研究。临时方案是鉴权接口定时调用宝塔面板 API 或阿里云控制台 API 来获取 ECS 的 CPU 和带宽使用率。

如何配置 nginx 远程鉴权

xoyozo 1 年前

939

在宝塔面板中使用 lua 实现远程接口鉴权

使 lua 支持 resty.http

在 access_by_lua_block 代码块中实现远程鉴权：

#鉴权-START
#resolver 223.5.5.5; # cat /etc/resolv.conf
access_by_lua_block {
    local http = require("resty.http")
    local httpc = http.new()
    httpc:set_timeout(500)  -- 连接超时
    local res, err = httpc:request_uri("https://鉴权地址/", {
        method = "GET",
        headers = {
            ["X-Real-IP"] = ngx.var.remote_addr,
            ["User-Agent"] = ngx.var.http_user_agent,
            ["X-Forwarded-Host"] = ngx.var.host,
            ["X-Forwarded-Uri"] = ngx.var.request_uri,
        },
        ssl_verify = false, -- 禁用 SSL 验证
        timeout = 500,     -- 读取超时
    })

    if not res then
        ngx.log(ngx.ERR, "Failed to request: " .. err)
    end
        
    if res and res.status == 403 then
        ngx.exit(ngx.HTTP_FORBIDDEN)
        -- return ngx.redirect("https://一个显示403友好信息的页面.html")
    end
}
#鉴权-END

注意更改接口地址和友情显示 403 页面地址。

本示例仅捕获 403 状态码，500、408 等其它异常情况视为允许访问，请根据业务需求自行添加状态码的判断。

若超时也会进入 if not res then 代码块。

建议将此代码部署在 nginx 主配置文件的 http 代码块中（宝塔面板中的路径：/www/server/nginx/nginx/conf/nginx.conf），如果你只想为单个网站鉴权，也可以放在网站配置文件的 server 块中。

若鉴权接口在私网中，建议将鉴权接口域名和私网 IP 添加到 hosts 文件中。

附

直接输出字符串

ngx.header.content_type = "text/plain";
ngx.say("hello world!")

输出到日志
```
ngx.log(ngx.ERR, "Response status: " .. res.status)
```
日志在网站的站名.error.log 中查看。
宝塔面板查看方式：日志 - 网站日志 - 异常
若想获取服务器 CPU 使用率等信息并传递给远程鉴权接口，请参考此文。
常见问题
no resolver defined to resolve
原因：没有定义 DNS 解析器
解决方法：在 http 块或 server 块中添加 resolver 8.8.8.8 valid=30s;，推荐使用接入商自己的公共 DNS，如果走内网，推荐使用本机 DNS。
unable to get local issuer certificate
原因：没有配置 SSL 证书信息
解决方法：添加 request_uri 参数：
```
ssl_verify = true,  -- 启用 SSL 验证
ssl_trusted_certificate = "证书路径",  -- 指定 CA 证书路径
```
或
```
ssl_verify = false,  -- 禁用 SSL 验证
```
若您不想用 lua，可以用 nginx 原生自带的 auth_request 模块来实现。

xoyozo 1 年前

2,793

再记 Discuz! 论坛升级（阿里云、Discuz! X3.5）

本文记录于 2024 年 11 月。

	升级前	期望（最新正式版）	最终选择
操作系统	Alibaba Cloud Linux 3	Alibaba Cloud Linux 3	Alibaba Cloud Linux 3
管理面板	宝塔面板 Linux 版 9.2.0	宝塔面板 Linux 版 9.2.0	宝塔面板 Linux 版 9.2.0
Web 服务	nginx 1.24	nginx 1.24	nginx 1.24
脚本语言	PHP 7.4	PHP 8.2	PHP 8.2
数据库	PolarDB MySQL 5.6	RDS MySQL 9.1	PolarDB MySQL 8.0
论坛程序	Discuz! X3.4 GBK	Discuz! X5.0	Discuz! X3.5 UTF8

版本选择原因：

Discuz! X5 刚刚发布，生态尚未成熟，考虑到是老论坛升级，所以选择 X3.5。
Discuz! X3.5 目前最高支持 PHP 8.2、MySQL 8.0。

完整升级步骤：

购买新的 ECS、PolarDB，具体环境配置步骤参此文；
安装宝塔面板并配置；
安装 nginx 及 PHP；
创建网站、配置 SSL、伪静态、防盗链、可写目录禁执行、仅允许部分入口文件执行等（.conf）；
配置 hosts；
如果是正式升级阶段，关闭论坛，防止产生新数据。
备份原网站程序、PolarDB 数据库；
PolarDB 创建快照。
测试阶段：从快照还原到新实例（MySQL 5.6 不能直接恢复到 MySQL 8.0），然后从 5.6 迁移到 8.0.x；
正式阶段：全量模式直接从原实例迁移到 8.0.x，若增量模式且存在触发器，建议从快照还原；
上传原网站程序到新的站点目录下；
按 Discuz! X 升级文档升级 X3.4 至 X3.5；详情见下文 ↓；
升级完成后切换到 PHP 8；
配置 OSS、Redis、更新缓存等；
测试论坛基本功能是否正常；检查附件是否能够正常上传；检查附件是否正常显示；全面检查控制台配置；
逐个开启插件并检查兼容性（短信通、马甲引擎等）；
按二开备忘录逐个按需进行二开；
逐个修改调用论坛接口的项目及直接调用论坛数据库的项目；
调试 MAGAPP 接口；
尝试强制 https 访问；
将以上所有修改后的程序保留备份；发布升级公告并关闭论坛；重复以上步骤；修改域名解析；开启论坛；
配置 IP 封禁、定时器、日志、自动备份、配置其它 ECS 的 hosts 等；
查看搜索引擎中收录的地址，是否有无法访问的情况；
尝试将历史遗留的本地附件全部转移到 OSS；
建议在新服上创建 3 个网站：

第 1 个用来尝试迁移、升级、二开，并测试所有功能；
第 2 个用来再次重复这些步骤，最终保留程序代码及 UGC 文件，作为最终的网站程序，以正式域名作为网站根目录路径；
第 3 个用来正式升级，主要功能是升级最新数据库。完成后修改第 2 个网站的数据库连接指向到最新的数据库，差异化同步新增的 UGC 文件到第 2 个网站。

Discuz! X 升级步骤及注意点：

因 PolarDB MySQL 不支持压缩，所以应移除 Discuz! 和 UCenter 代码中所有的 MYSQLI_CLIENT_COMPRESS，将 , MYSQLI_CLIENT_COMPRESS 替换为 /*, MYSQLI_CLIENT_COMPRESS*/。
升级前务必先修改 ./config/ 目录下的数据库/缓存连接信息，以防出现新站连接老库的情况；
按官方文档进行升级，升级前先修改一下：
【UC】先升级 UCenter 1.6 至 1.7。
将 /uc_server/data 权限改为 777 并递归。
打开 update_ucenter_adult.php 修改 $limit 值为 10000 以免执行超时。
因通信失败的“发送通知失败”可以直接改 URL 参数跳过就完成了，原因可能是因数据量大，发送改名通知执行改名时超时。等DZ升级完成后UC会自动重试改名通知，或单独写个 php 文件将 UCenter 的用户名同步到应用的数据库。
【DZ】运行到 /install/update_adult.php?step=innodb&table=pre_common_member_grouppm 时报错：Duplicate key name 'gpmid' ALTER TABLE common_member_grouppm ADD INDEX gpmid(gpmid);
解决方法：先删除索引，因保存时提示失败，应同时取消 gpmid 字段的自增，转换成功后再设置自增。
【DZ】运行到 /install/update_adult.php?step=file 一片空白而停止
正在解决
【问题】common_menber 表用户名字段编码转换失败
原因是部分用户名包含特殊字符（如全角空格），用以下语句查看两个表同一 uid 的不同用户：
```
SELECT 
    u.uid, 
    u.username AS ucenter_username, 
    c.username AS common_username
FROM 
    pre_ucenter_members u
JOIN 
    pre_common_member c ON u.uid = c.uid
WHERE 
    u.username <> c.username
```
Discuz! 用户登录都是以 UCenter 中的用户名为主，所以可以写个小程序直接将 pre_ucenter_members 的用户名同步到 pre_common_member 中，另外 pre_ucenter_members 的用户数少于 pre_common_member 是正常的。若 pre_common_member_archive 表遇到错误同理。
如果用户登录慢，或打开 UCenter 慢，是因为 UC 正在通知 DZ 改用户名，每次打开一个页面会更改一个用户名，具体可以查看 pre_ucenter_notelist 中 closed 为 0 的队列，或进入 UC 后台-数据列表-通知列表查看。
【问题】发布主题遇到错误：(1062) Duplicate entry '*' for key 'pid'
【原因】forum_post 中的 pid 不是自动增长的，而是由表 forum_post_tableid 中自动增长的 pid 生成的。如果生成的 pid 值已在 forum_post 表中存在，则会出现此错误。
【解决】迁移数据库时应关闭论坛，以防止 forum_post 表有新数据插入。
【问题】打开帖子页面 ./thread-***-1-1.html 显示 404 Not Found，而 ./forum.php?mod=viewthread&tid=*** 可以正常打开
【原因】未配置伪静态（可在宝塔面板中选择）
【问题】打开 UCenter 时报错：UCenter info: MySQL Query Error SQL:SELECT value FROM [Table]vars WHERE name='noteexists'
【解决】打开文件 ./uc_server/data/config.inc.php 配置数据库连接
【问题】打开登录 UCenter 后一片空白
【解决】将目录 ./uc_server/data/ 设为可写
需要将原来安装的插件文件移回 ./source/plugin/ 目录，并设置可写；
界面-表情管理，界面-编辑器设置-Discuz!代码

后续 Discuz! X3.5 小版本升级注意事项：

确认插件是否支持新版本（如短信通）
先创建一个新网站测试二开代码
保留 /config/、/data/、/uc_client/data/、/uc_server/data/、/source/plugin/，其它移入 old
上传文件
移回其它需要的文件，如：
-- 勋章/loading/logo/nv 等：/static/image/common/
-- 表情：/static/image/smiley/
-- 水印：/static/image/common/watermark.*
-- 风格：/template/default/style/t2/nv.png 等
-- 默认头像：/uc_server/images/noavatar_***.gif
-- 根目录 favicon.ico 等
-- 及其它非 DZ 文件
再次检查可写目录的写入权限和禁止运行 PHP 效果。

xoyozo 1 年前

2,594

纯真社区版IP库（CZDB 版）ASP.NET（C#）SDK

截止 2024 年 9 月，CZDB 数据已支持 JAVA、PHP、C、Node.js、Python 语言解析，但官方迟迟未推出 C# / ASP.NET 的版本，于是我参照前面几种语言版本写了 C# 版，支持 IPv4 与 IPv6，实测查询速度，CZDB 版的 MEMORY 模式比原来的 DAT 版数据库快数百倍（具体要看磁盘和内存的读写速度）。能够有效降低 CPU 的使用率，特别是在需要频繁查询 IP 属地的应用场景（譬如每个 HTTP 请求都要判断 IP 属地来决定是否允许访问）。

我要试试→

源代码已提交给纯真官方，相信很快就会有官方版本的 SDK。

xoyozo 1 年前

3,252

unpack("C*", $data)

C 表示一个无符号的字符（unsigned char），它将被解析为一个介于 0 到 255 之间的十进制整数。

* 表示重复该指令直到数据被完全解析。

对应到 C# 中，即在 VS 中断点调试看到的 data 的值。

xoyozo 1 年前

1,249

从零搭建一台阿里云 ECS（Linux / Alibaba Cloud Linux / CentOS）并迁移网站

购买 ECS
解析域名（非网站域名）、修改实例名称、主机名
设置阿里云（重要）
远程连接进入 ECS（若解析未生效可以先用 IP）（若新服默认使用 22 端口，可在阿里云控制台登录系统，或先在安全组临时放行 22 端口）
修复系统漏洞
将磁盘挂载到目录（fdisk、df 命令参考：https://xoyozo.net/Blog/Details/SSH）
安装宝塔面板（本文以宝塔面板方案为例，选择任何你喜欢的环境部署方案都行）。可以在阿里云控制台ECS实例页安装扩展程序
临时放行宝塔面板端口，进入宝塔面板（http方式），或用命令更改宝塔面板端口
配置面板 SSH、添加新的安全端口、面板设置
更改 SSH 默认端口（参：https://xoyozo.net/Blog/Details/change-default-port）
安装 nginx、PHP 等
通过 lua 接入 WAF
配置 PHP 扩展（Redis、sqlsrv（注意选择兼容的版本）、memcached 及端口）
创建网站，配置网站（路径、伪静态等）
迁移网站文件（参：https://xoyozo.net/Blog/Details/SSH）
仔细对比新旧网站的配置文件（特别是 .php 的访问权限，参：https://xoyozo.net/Blog/Details/nginx-location-if）
设置写入目录（使用 rsync 同步的文件会同步用户和权限）
解析域名（先改 hosts 测试网站功能）
更改内网其它 ECS 上的 hosts
关闭原 ECS（能马上发现问题，不然等运行一段时间才发现问题就麻烦点）
设置 FTP
迁移“计划任务”
所有网站和软件的配置文件都要使用 WinMerge 进行对比
移除“宝塔面板-安全”和“阿里云-ECS-安全组”中不用的端口
再次检查阿里云设置
私网中若有 ECS 的 hosts 中域名直接绑定到私网 IP 的，做相应更改
其它：ERP 添加到期提醒、WAF 增加该 ECS、备份工具增加该 ECS

大家在看

最新发布

查询 / 检测

编程

前端

行业

本站 API

博客 (29)

大家在看

最新发布