本文不定时更新！

A： MySQL 执行 SHOW FULL PROCESSLIST

Q：查看连接数和慢查询，适用于 MySQL 数据库无法连接 1040

A： iftop -i eth0

Q：查看占用带宽的IP（命令：iftop -i eth0 -F ip/24），添加到安全组、防火墙、宝塔的黑名单中。

命令 grep -l "x.x.x.x" /www/wwwlogs/*.log 可以在 wwwlogs 目录下的所有 .log 文件中查找指定的恶意 IP。

A： goaccess -f xxx.log

Q：实时分析网站日志，查看请求最多的IP

A： net.xoyozo.weblog 日志分析工具

Q：自制的 Web 日志分析工具，可按多种方式排序，纠出可疑访问

A：重启 web 服务器

Q：有时候能解决 CPU 和内存消耗的问题，如果一会儿又升高，则需要找另外的原因

Q： 500 服务器内部错误

502 Bad Gateway

504 Gateway Time-out

A：查看 php 日志，可能的路径：

/usr/local/php/var/log/php-fpm.log

/www/server/php/[版本]/var/log/php-fpm.log

Q： RDS MySQL IOPS 使用率高的原因和处理

A：根据时间点查看慢查询

Q： Discuz! 论坛界面错乱、表情不显示、模块缺失、登录失败、发帖失败等等

A：进入管理中心 - 工具 - 更新缓存，能解决大部分问题

Q： Discuz! 浏览帖子提示“没有找到帖子”

A：进入数据库，修复表 pre_forum_post 或分表

Q： CPU 100% 或内存 100%，负载100+

A：原因有很多，以下是一些建议：

Windows 在任务管理器中查看进程

当前是否有正常的大流量访问（譬如民生类论坛的某个帖子突然火了）特别是重启无效的情况

对比网站日志大小可大致确定哪个网站被大量恶意请求。

观察：命令 top

排查：通过关闭网站来确定是某网站的问题，通过关闭功能确定是某功能的问题，如果 nginx 崩溃请参下条

案例：通过修改 mobcent 文件夹名确定是安米的文件被疯狂请求导致的，更新插件和 mobcent 包解决问题。

如果都是正常访问，top 看到很多 php-fpm，而且个个占用 CPU 还不小，那么根据服务器硬件配置来修改 php 的并发量，如宝塔面板在 php 设置 - 性能调整页，300 并发方案的推荐配置是：

max_children：300
start_servers：30
min_spare_servers：30
max_spare_servers：180

另外，memcached 或 redis 的配置也可以进行相应的修改。

另一个案例是 kswapd0 进程占满 CPU，原因是内存不足导致 swap 分区与内存频繁交换数据。同样调整 php 的设置即可。

也可以通过 iftop 来查询占用带宽较多的 IP 并封禁（出方向），如果 CPU 能降下来，那这个 IP 就是罪魁祸首。

* 使用 WAF 的审计 WAF 日志，未使用 WAF 的审计 Web 日志。

Q：阿里云 ECS 的 CPU 突然达到 100%，并持续到次日 0:00 左右

A：可能 ECS 是 t5 规格，受 CPU 积分制度限制，积分耗尽时 CPU 不工作。解决方法是更换其它规格产品或升配。

Q： ASP.NET 所在服务器 CPU 突然达到 50% 或 100%，并持续

A：首先确定哪个网站，再依次排查网站各功能。可能是 HttpWebRequest 请求远程数据时长时间未返回结果导致的程序阻塞。

Q： nginx 服务停止

A：查看 nginx 日志

WDCP 路径：/www/wdlinux/nginx-1.0.15/logs/error.log

Q：公网出带宽 100%，其它指标正常

A： Windows 在任务管理器-性能-资源监视器-网络查看占用带宽的进程PID，然后在任务管理器-详细信息中的找到对应的用户（如果为每个网站分别创建了用户，就能知道是哪个网站占用了带宽）；如果是被 PID 为 4 的 System 占用大部分带宽，也可以尝试重启 IIS 来解决。

CentOS 使用 nethogs 查看占用带宽的进程PID和USER，如果为每个网站分别创建了用户，就能知道是哪个网站占用了带宽，否则只能一个个关闭网站来判断，不知道大家有没有好的方法？当然还可以直接用 iftop 命令查看占用带宽的 IP。另外，查看每个网站在那个时间段的日志文件的大小也能大概看出是哪个网站被采集了。

A： Linux 显示每个用户会话的登入和登出信息

utmpdump /var/log/wtmp

参考：http://www.tulaoshi.com/n/20160331/2050641.html

Q： RDS 的 CPU 100%

A：如果是突然持续占满（同时伴随 ECS 资源使用率下降，页面出现 502），很大可能是受攻击（或社交网站推送突发事件等），查看“慢查询”，添加相关索引；如果是 Discuz! 论坛，可尝试修复优化表 pre_common_session。

如果是数日缓步上升，或新项目上线，考虑 SQL 慢查询，思路：MySQL / SQL Server。

MySQL：SHOW FULL PROCESSLIST

SQL Server：sp_who

Q： php 网站的服务器，内存在数天内缓慢上升

A：大概是 php-fpm 占用过多，或进程数太多

更改 php 的配置（如 max_spare_servers），执行：service php-fpm reload

Q：进程 cloudfs 占用内存过多

A：参：https://xoyozo.net/Blog/Details/cloudfs-cache

Q： RDS 磁盘占用过大

A：参：https://xoyozo.net/Blog/Details/how-to-use-rds

Q： ECS 受到 DDoS 攻击怎么办？

A：参：https://xoyozo.net/Blog/Details/aliyun-ddos-without-bgp

Q：如果 ECS 和 RDS 各项指标都没有异常，但网页打开慢或打不开502，TTFB 时间很长，是什么原因？（ECS 的 CPU 100%，RDS 的连接数上升，也可参考此条）

A：数据库有坏表，尝试优化/修复表（慢 SQL 日志中锁等待时间较长的表？），或主备切换。show full processlist 时看到许多

DELETE FROM pre_common_session WHERE sid='******' OR lastactivity<****** OR (uid='0' AND ip1='*' AND ip2='*' AND ip3='*' AND ip4='*' AND lastactivity>******)

Q： Discuz! 创始人(站长)密码被改

A：数据库找到 pre_ucenter_members 表，复制其它的已知登录密码的账号，复制其 password 和 salt 两个字段的值到创始人账号中，创始人账号即可用该密码登录了。

Q：通过 iftop 观察到，Discuz! 网站从 RDS 数据库到 ECS 网站服务器私网流量非常大，远大于公网流量

A：可能是缓存出问题了，尝试卸载重装 Redis 来解决。

Q：宝塔面板中安装的 Redis 经常自动停止

A：尝试卸载重装 Redis 来解决。

Q：马甲客户端出现“您的网络有些问题”

A：原因有许多，其中一个就是新建了一个数据表，然后 /source/class/table/ 下面丢失了对应的文件，具体可以找官方排查原因。

Q：排查服务器安全需要检查哪些日志？

A： Web日志、登录日志（/var/log/secure）等。

Q：带宽波形以几分钟为周期呈锯齿状波动是什么原因？

A：该现象主要由防火墙流量管控机制与检测周期设置共同作用所致。防火墙基于预设的带宽阈值执行安全防护策略，当检测到流量峰值超过设定阈值时，将自动触发限流策略拒绝后续请求。待流量回落至安全阈值后，系统自动恢复服务访问权限。若防火墙的带宽采样检测周期设置过长（如以分钟为单位的检测间隔），将导致系统对实时流量变化的响应出现迟滞。这种周期性的检测机制会使带宽监控数据在阈值临界点附近呈现规律性的锯齿状波动特征。

优化建议：可通过调整防火墙的流量检测周期至更小时间粒度（如10-15秒），或采用动态流量整形策略，以实现更平滑的带宽控制效果。

补充说明：对于阿里云监控数据的调用，建议注意接口调用频率管控。高频调用云监控API接口将触发阿里云的API计费策略，可能产生额外的资源消耗成本。

其它案例

某台 ECS 上的多个网站出现 502，查询到 CPU / 内存 / 带宽都比平时高，但都未满。用 iftop 看到连接的一个远程 Redis 占用内网带宽非常高。尝试重启远程 Redis 未果。尝试重启 ECS 上的 nginx 未果。尝试重启 ECS 未果。进入 ECS 的宝塔面板，重启 PHP 有效。
DDos攻击看这篇，现象是入流量大，CC攻击看这篇，现象是出流量大。

xoyozo 9 年前

10,669

记一次 Discuz! 论坛数据库崩溃“(1040) notconnect”CPU 和连接数 100% 的解决过程

论坛使用阿里云的 ECS + RDS + OSS 搭建，最近经常隔三差五出现 RDS 的 CPU 和连接数突然满负荷的情况，导致数据库无法连接。这种情况一般会认为是受到了攻击，因为如果是访问量大或者是哪里有慢查询，应该是资源消耗逐步上升直至崩溃的，沿着这个思路去查 Web 日志封 IP，但效果不大，关闭功能、卸载插件也没用。

开启阿里云后台的 SQL 审计，能看到 SQL 查询日志，但是很难找有问题的 SQL。

最终在重启 RDS 后执行以下语句列出所有正在执行或阻塞的语句：

show full processlist

在结果列中，Command 为 Query 是正在执行查询操作的语句，发现几乎所有的 SQL 都是：

SELECT * FROM pre_forum_thread WHERE tid>0 AND fid IN('42','95','247','41','567','62','149','229','37','230','93','190','284','75','38','568') AND `fid`<>'546' AND replies > 0 AND displayorder>=0 ORDER BY lastpost DESC  LIMIT 10

再加上之前出现的情况是，论坛帖子列表和详情页面能正常打开时，论坛首页也不一定能打开，所以基本定位到是“首页四格”的数据库查询导致的。

进入论坛后台首页四格设置，对比了版块 id 后确认了这个 bug。

单独执行该语句大约耗时 5s（主题帖 200 万），设置的缓存时间 10 分钟。

processlist 中看到这些语句的 state 都是 Creating sort index，尝试去掉 ORDER BY 后执行果然只需要 16ms。

5s 内的访客都是从数据库读取的，能处理完就正常，否则累积就导致 RDS 崩溃，每 10 分钟都会重现一次风险。

当然这个问题可以通过添加索引来解决。

xoyozo 9 年前

8,826

ASP.NET MVC Code First 入门

新建项目

使用 VS2017 / VS2015 新建项目 - ASP.NET Web 应用程序 - MVC - 个人身份验证

添加模型

右击 Models 文件夹，添加类 Movie

using System;
using System.Data.Entity;

namespace MvcMovie.Models
{
    public class Movie
    {
        public int ID { get; set; }
        public string Title { get; set; }
        public DateTime ReleaseDate { get; set; }
        public string Genre { get; set; }
        public decimal Price { get; set; }
    }

    public class MovieDBContext : DbContext
    {
        public DbSet<Movie> Movies { get; set; }
    }
}

Movie 类表示一部电影，一个对象实例对应数据库中一行，每个属性对应表中一列。

MovieDBContext 代表 EF 数据库上下文，处理抓取、存储、更新。

创建连接字符串和使用 SQL Server

打开 Web.config

在 <configuration /> 中的 <connectionStrings /> 中添加

<add name="MovieDBContext" connectionString="Data Source=(LocalDb)\MSSQLLocalDB;AttachDbFilename=|DataDirectory|\Movies.mdf;Initial Catalog=Movies;Integrated Security=True"
      providerName="System.Data.SqlClient" />

name 必须与 DbContext 类的名称匹配（MovieDBContext）

这步将会把数据库文件 Movies.mdf 创建到 App_Data 文件夹中，你也可以使用其它 SQL Server 数据库的连接字符串，简单的方法是：

在“服务器资源管理器”中添加连接

从右击属性中获取连接字符串

从控制器访问模型的数据

右击 Controllers 文件夹添加控制器，选择 包含视图的 MVC 5 控制器(使用 Entity Framework)

模型类：Movie (MvcMovie.Models)

数据上下文类：MovieDBContext (MvcMovie.Models)

F5 运行，访问 /Movies 可添加、查看、编辑、删除影片

添加新字段

设置模型更改的 Code First 迁移

在程序包管理器控制台窗口中，在 PM> 提示符下输入

Enable-Migrations -ContextTypeName MvcMovie.Models.MovieDBContext

在 Migrations 文件夹中新建了 Configurations.cs，打开并在 Seed 方法中加入

context.Movies.AddOrUpdate(i => i.Title,
  new Movie
  {
    Title = "When Harry Met Sally",
    ReleaseDate = DateTime.Parse("1989-1-11"),
    Genre = "Romantic Comedy",
    Price = 7.99M
  },
  new Movie
  {
    Title = "Ghostbusters ",
    ReleaseDate = DateTime.Parse("1984-3-13"),
    Genre = "Comedy",
    Price = 8.99M
  }
);

Seed() 将在每次迁移（PM>update-database）后被调用执行，AddOrUpdate 将执行 upsert 操作（有则 update，无则 insert）

AddOrUpdate 的第一个参数指定用于检查行是否已存在的属性

如果该属性值不唯，则出现异常

序列包含多个元素

创建迁移命令：

PM>add-migration Initial

名称“Initial”是任意的

执行迁移：

PM>update-database

F5 运行将显示种子数据

向 Movie 模型添加 Rating 属性

向 Movie 类添加属性，生成

public string Rating { get; set; }

向 Create 和 Edit Action 方法的 Bind 属性添加 Rating

更改各视图支持新的 Rating 属性

此时 F5 运行将提示

System.InvalidOperationException:“支持“MovieDBContext”上下文的模型已在数据库创建后发生更改。请考虑使用 Code First 迁移更新数据库(http://go.microsoft.com/fwlink/?LinkId=238269)。”

要解决错误除了手动往数据库中添加 Rating 字段外可以利用 Code First 迁移：

更新 Migrations\Configuration.cs 给每个 Movie 对象添加一个 Rating 字段

PM>add-migration Rating

名称 Rating 是任意的

创建了 DbMigration 的派生类 Rating，可以看到添加新列的代码

PM>update-database

数据库自动完成了对新字段的添加，当然 update-database 也会把种子数据还原。

参考

Getting Started with ASP.NET MVC 5

xoyozo 10 年前

4,822

优秀网页开发框架、jQuery 插件、开源代码收录（持续更新）

收录了一些个人觉得不错的网页开发插件。

由于插件更新频繁，本页如有错误请指正，也欢迎告知更多功能强大、使用方便的插件。

插件	简介	备注
框架
jQuery	最流行的 JS 框架	下载、中文文档、英文整合文档、中文整合文档，浏览器支持、来自 css88 的文档官方建议 IE 6-8 使用 1.12.4
Angular、中文版 AngularJS (version 1.x)	一套框架，多种平台同时适用手机与桌面	MVC 架构，使得开发现代的单一页面应用程序（SPAs：Single Page Applications）变得更加容易
Vue.js	是一套用于构建用户界面的渐进式框架。
Bootstrap、中文版	简洁、直观、强悍的前端开发框架	英文文档、v3中文文档、v2中文文档、视频教程，主题和模板
jQuery UI	为 jQuery 提供更丰富的功能	示例：Datepicker、Color Animation、Shake Effect
功能
jQuery File Upload	jQuery 文件上传	英文文档
jQuery Cookie	读取、写入和删除 cookie	浏览器支持，文档
json2.js	json 操作库	已弃用，旧 IE 用 jQuery 的 parseJSON，HTML 5 用 JSON.parse
Lightbox	老牌图片浏览插件推荐使用更强大的 Viewer.js
Swiper、中文版	最现代的移动触摸滑块（Most Modern Mobile Touch Slider）	英文文档，中文文档，旧浏览器支持版本：2.x.x，Swiper 2 英文文档，中文文档
jquery-cropper	图片裁剪
FastClick	用于消除手机浏览器上触摸事件触发之间的 300 毫秒延迟	用法，不应用的场景
PACE	页面加载进度条	文档，IE8+
toastr	jQuery 通知	文档
Autosize	一款小巧的，可自动调整 textarea 高度的独立脚本	IE9+
X-editable	允许您在页面上创建可编辑元素	文档，Demo
select2	一款提供搜索过滤、自定义样式的下拉框插件
jQuery Tags Input	标签输入框	用法
Viewer.js	图片浏览插件	GitHub（viewerjs）、GitHub（jquery-viewer） jquery-viewer 是 viewerjs 的 jQuery 插件，即在 jQuery 环境中要同时引用这两个脚本。
PDF.js	A general-purpose, web standards-based platform for parsing and rendering PDFs.
*编辑器*
UEditor	百度在线编辑器	GitHub 下载、文档、ASP.NET 部署教程
*日期时间*
bootstrap-datepicker	Bootstrap 日期选择器	Online Demo
DateTimePicker	日期时间选择
MultiDatesPicker	多日期选择
FullCalendar	日历日程事件工作表	IE 9+, jQuery 2.0.0+
TimeTo	计时、倒计时
图表
D3.js	D3.js 是基于数据驱动文档工作方式的一款 JavaScript 函数库，主要用于网页作图、生成互动图形，是最流行的可视化库之一。
Highcharts、中文版	兼容 IE6+、完美支持移动端、图表类型丰富、方便快捷的 HTML5 交互性图表库	文档
ECharts	百度图表控件
AntV	来自蚂蚁金服的专业、简单、无限可能的可视化解决方案 G2 - 专业易用的可视化类库 G2-mobile - 移动端高性能可视化类库 G6 - 关系图可视化类库	流程图, 关系图, 可视化规范, 地图, 河流图, 力导图, 网络图, UML图, 业务流程图, 时序图
SyntaxHighlighter	功能齐全的代码语法高亮插件（JS）
动态排名数据可视化	将历史数据排名转化为动态柱状图图表开源代码，非插件，修改使用	GitHub、视频教程、EV录屏、网页示例、视频效果
图标
Font Awesome	完美的图标字体	IE 8+，v3.2.1 支持 IE 7，进阶用法（定宽/边框/动画/旋转/叠加）
Glyphicons	图标字体	作为 Bootstrap 组件
Iconfont	阿里巴巴矢量图标库	用户可以自定义下载多种格式的 icon，也可将图标转换为字体，便于前端工程师自由调整与调用
UI 框架
WeUI	同微信原生视觉体验一致的基础样式库	Demo、Wiki
Apple UI Design Resources	苹果用户界面设计资源

xoyozo 10 年前

15,720

修改 Chrome 谷歌浏览器自动填充的样式

若在谷歌浏览器中记住密码，再次打开时，表单中自动填充的文本框和下拉框都变成了黄色背景，影响界面美观，可以使用以下样式修正：

/* Change Autocomplete styles in Chrome*/
input:-webkit-autofill,
input:-webkit-autofill:hover, 
input:-webkit-autofill:focus
input:-webkit-autofill, 
textarea:-webkit-autofill,
textarea:-webkit-autofill:hover
textarea:-webkit-autofill:focus,
select:-webkit-autofill,
select:-webkit-autofill:hover,
select:-webkit-autofill:focus {
  border: 1px solid green;
  -webkit-text-fill-color: green;
  -webkit-box-shadow: 0 0 0px 1000px #000 inset;
  transition: background-color 5000s ease-in-out 0s;
}

具体样式请自行修改。

参考资料：https://css-tricks.com/snippets/css/change-autocomplete-styles-webkit-browsers/

xoyozo 10 年前

5,476

ASP.NET Core Web 应用开发学习入门教程（新手笔记）

了解使用 Visual Studio 创建的模板项目

启动 VS，从菜单项打开：文件 - 新建 - 项目，在已安装的模板中选择 .NET Core，选择 ASP.NET Core Web Application(.NET Core)，给项目取个名称，确定。选择 Web 应用程序，确定。

· global.json: 你可以在这里放置解决方案的配置信息和工程之间的引用。作用类似于 *.sln 文件。

· Program.cs: 这个文件包含了 ASP.NET Core 应用的 Main 方法，负责配置和启动应用程序。

· src 文件夹: 包含组成你应用程序的全部项目代码。

· wwwroot: 你的静态文件将被放置在这个文件夹，它们都将作为资源直接提供给客户端，包含 HTML，CSS 和 JavaScript 文件。可以在 project.json 内重置。

· project.json: 包含项目设置。在 ASP.NET Core 中，你可以通过使用 NuGet 程序包管理工具（NPM）添加 NuGet 包或者编辑这个文件来管理从属。

· project.lock.json: 由 project.json 生成。

· Startup.cs 这个主要放置你 ASP.NET Core 的 stratup 和 configuration 代码。ConfigureServices 方法定义了你应用程序使用的服务，Configure 方法用来定义组成请求管道的中间件。

一些备注：

ASP.NET Core 项目中不能创建 Web 窗体页面（.aspx）

发布后的网站根目录是项目中的 /wwwroot 目录

路由在 Startup 的 Configure 方法中配置

xoyozo 10 年前

9,042

WEB FORM 数据控件绑定示例

Repeater
索引 <%# Container.ItemIndex %>
输出项 <%# Container.DataItem %> 或 <%# GetDataItem() %>

ListView
索引 <%# Container.DataItemIndex %>
输出项 <%# GetDataItem() %>

以 fiels 的内容为 <span style="color: red;">你好</span> 为例：

语法	HTML 源代码输出结果	浏览器展示结果	备注
<%# Eval("field") %>	<span style="color: red;">你好</span>	你好	一般绑定
<%#: Eval("field") %>	<span style="color: red;">你好</span>	<span style="color: red;">你好</span>	HtmlEncode 效果绑定

xoyozo 17 年前

4,560

在 IIS 中部署 SSL

上一篇介绍了如何创建用于 https 的 SSL 证书，本文讲述如何将创建好的 SSL 证书导入到 Windows，并在 IIS 中部署 HPPTS 的访问。

导入证书

GetSSL 整理的安装方法合集：https://www.getssl.cn/support/ssl安装教程/

下面介绍另一种方法：

准备好 pfx 格式的证书和密码。

开始 -> 运行 -> MMC

点击菜单栏的“添加/删除管理单元”，选择证书，添加，“本地计算机”或“计算机帐户”

左侧展开证书，个人，右键，所有任务，导入，键入密码，选择“根据证书类型，自动选择证书存储”

绑定网站域名

打开 IIS 管理器，选择相应的网站，“绑定”，添加，类型为“https”，选择证书

这样网站就能以 https:// 方式访问了

实现 http 自动跳转 https

方案一：推荐

打开 ASP.NET 网站，如果没有 Global.asax 则添加全局应用程序类

在 Application_BeginRequest() 方法中添加以下代码：

if (!Request.IsLocal && !Request.IsSecureConnection)
{
    if (Request.HttpMethod == System.Net.WebRequestMethods.Http.Get || Request.HttpMethod == System.Net.WebRequestMethods.Http.Head)
    {
        Uri uri = Request.Url;
        Response.Redirect("https://" + uri.Authority + uri.PathAndQuery + uri.Fragment);
        HttpContext.Current.ApplicationInstance.CompleteRequest();
    }
}

Response.RedirectPermanent 是 301 永久

Response.Redirect 是 302 临时

Webform 貌似没有 303、307 的 Redirect，可以判断 Method 来分别处理。

MVC 中可以直接指定状态码，例：

public ActionResult About()    
{    
    HttpContext.Response.AddHeader("Location", "/Home/Contact");
    return new HttpStatusCodeResult(307);
}

方案二：

需要“URL 重写”支持，以 IIS 7 为例，模块下载地址：x86 / x64，IIS 8 及以上版本自带该模块

打开“URL 重写”，添加规则，选择空白规则

填写名称，如“Redirect to HTTPS”

与模式匹配，正则表达式

模式：(.*)

添加两个条件：

条件输入“{HTTPS}”，“与模式匹配”，模式“^OFF$”，确定

条件输入“{HTTPS_HOST}”，“与模式不匹配”，模式“^(localhost)”，确定

操作类型“重定向”，

重定向 URL“https://{HTTP_HOST}/{R:1}”

重定向类型：请参考此文，所有请求跳转可选 303，仅 GET/HEAD 请求跳转可选 307（推荐，可防止 POST 请求跳转丢失数据）

这么多步骤，其实最终会在网站 web.config 的 <system.webServer /> 节点下插入以下配置：

<rewrite>
  <rules>
    <rule name="Redirect to HTTPS" enabled="true" stopProcessing="true">
      <match url="(.*)"/>
      <conditions>
        <add input="{HTTPS}" pattern="^OFF$"/>
        <add input="{HTTPS_HOST}" pattern="^(localhost)" negate="true"/>
      </conditions>
      <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" redirectType="Temporary"/>
    </rule>
  </rules>
</rewrite>

配置 Web.Release.config 转换语法

作为 ASP.NET 开发者，我们发现，当我们把这段 URL 重写规则复制到项目中的 web.config 后，在 VS 的本地调试中同样会自动跳转到 https://localhost/xxx，这可没法调试了呀。所以只能用 Web.Release.config 来实现本地调试用 http，发布用 https。

<system.webServer /> 节点是针对 IIS 7 的配置，干脆我把整个 <system.webServer /> 从 web.config 剪切到 web.release.config 中，然后给 <system.webServer> 加上属性和值：xdt:Transform="Insert"，这样就能实现我们的目的了

详细的用于 Web 应用程序项目部署的 Web.config 转换语法参见此文

验证

最后我们来检查一下配置的对不对：https://www.geocerts.com/ssl_checker

参考资料

IIS 7 如何实现 http 重定向 https

扩展阅读

在 nginx 中部署 SSL

安装 SSL 证书遇到的一些问题

xoyozo 10 年前

7,895

服务器安全讲座

知其然，才能使其安——王震

常见的攻击手法

SQL 注入

文件上传

弱口令

Nday 攻击

XSS

社会工程学

等等……

被黑原因总结

不知道	不及时	不在意
不知道自用系统安全动态	不及时更新系统安全补丁	不在意个人信息安全
不知道常见黑客攻击手段	不及时修复漏洞	不在意用户数据安全
不知道该如何修复	不及时排查被黑系统	不在意各种安全软件提示、提醒
不知道今后该如何防御		不在意细节

那些年，醉人的“三字经”

网站渗透娱乐版

针对企业的实战版

进谷歌找注入

没注入就旁注

没旁注用0day

没0day 猜目录

没目录就嗅探

爆账户找后台

传小马放大马

拿权限挂页面

放暗链清数据

搞企业先扫描

默认密都知道

社工库找一找

邮箱号先列好

九头蛇跑一跑

搞不定放大招

发邮件凭伪造

没邮箱搞网站

二级域皆可爆

老漏洞没修好

新漏洞刷一票

干研发 Git 找

原代码全都要

CDN 可以跳

防火墙可以撬

堡垒机可以绕

云防护可以秒

是企业没有哪家搞不了

攻击手法统计

Nday攻击：45%

漏洞攻击：35%

其他攻击：15%

0day攻击：5%

一些箴言

80%的安全问题都是已知的安全问题，但是能抵御已知安全问题的网站只有20%

弱口令虽然看起来很弱，但是忽视弱口令只会让你的网站变得更弱

没有百分之百的安全，你所做的一切不是为了让自己无坚不摧，只是让自己不再弱不禁风

80%的系统安全问题都是可以通过升级补丁来解决，但是能做到这点的人只有20%

SQL注入存在十几年了，依然是主流攻击手段，可见安全比的不是谁更先进，而是谁更细心

不要得罪你的开发人员，这就跟你吃饭不要得罪服务员一样，你不知道他下一秒会不会在你的菜里吐口水

还有一句

永远不要觉得你安装的安全防护软件真的可以保护你的安全

服务器安全注意事项

不安装不必要的软件

排查所有系统弱口令

关闭不常用的端口

控制目录权限

不在服务器上下载、打开非官方提供软件

不在服务器上打开他人发来的网页链接

如何排查暗链？

利用查看网站的源代码来检查黑链

使用站长工具“网站死链检测”功能来检查黑链

用 FTP 查看网站文件的修改时间来检查黑链

接入 webscan.360.cn 检测

后门排查

Windows 下，D 盾、安全狗、主机卫士

Linux 下，Seay 一句话扫描脚本、主机卫士 Linux 版

用 FTP 查看网站文件的修改时间来排查恶意后门

接入 webscan.360.cn 等在线检测

安全类书籍推荐

《Web 安全深度剖析》——张炳帅著

《白帽子讲 Web 安全》——吴瀚清著

《Web 前端黑客技术揭秘》——钟晨呜（余弦）著

《黑客攻防技术宝典 Web 实战篇》——国外某黑客著

联系方式

官网：www.flsec.com

xoyozo 10 年前

5,519

封 IP

IIS：

进入 IIS 管理器，
打开“Web 平台安装程序”
在“产品”选项卡中选择“服务器”项
添加“IIS：IP 和域限制”
安装

关闭并重新打开 IIS 管理器
打开“IP 地址和域限制”
右侧“添加拒绝条目”

itables：

查看当前规则：

iptables -L

或直接编辑

vim /etc/sysconfig/iptables

添加规则：

封单个IP：

iptables -I INPUT -s 888.888.888.888 -j DROP

封IP段：

iptables -I INPUT -s 888.888.888.0/24 -j DROP

解封：

iptables -D INPUT -s 888.888.888.888 -j DROP

xoyozo 10 年前

6,742

11 12 13 14 15

其它案例

新建项目

添加模型

创建连接字符串和使用 SQL Server

从控制器访问模型的数据

添加新字段

设置模型更改的 Code First 迁移

向 Movie 模型添加 Rating 属性

参考

了解使用 Visual Studio 创建的模板项目

导入证书

绑定网站域名

实现 http 自动跳转 https

配置 Web.Release.config 转换语法

验证

参考资料

扩展阅读

知其然，才能使其安——王震

常见的攻击手法

被黑原因总结

那些年，醉人的“三字经”

攻击手法统计

一些箴言

还有一句

永远不要觉得你安装的安全防护软件真的可以保护你的安全

服务器安全注意事项

如何排查暗链？

后门排查

安全类书籍推荐

联系方式

IIS：

itables：

大家在看

最新发布

查询 / 检测

编程

前端

行业

本站 API

博客 (144)

其它案例

新建项目

添加模型

创建连接字符串和使用 SQL Server

从控制器访问模型的数据

添加新字段

设置模型更改的 Code First 迁移

向 Movie 模型添加 Rating 属性

参考

了解使用 Visual Studio 创建的模板项目

导入证书

绑定网站域名

实现 http 自动跳转 https

配置 Web.Release.config 转换语法

验证

参考资料

扩展阅读

知其然，才能使其安——王震

常见的攻击手法

被黑原因总结

那些年，醉人的“三字经”

攻击手法统计

一些箴言

还有一句

永远不要觉得你安装的安全防护软件真的可以保护你的安全

服务器安全注意事项

如何排查暗链？

后门排查

安全类书籍推荐

联系方式

IIS：

itables：

大家在看

最新发布