https://www.cnmysql.com/index.php zh-cn https://www.cnmysql.com/post/141/ kangyang <kangyang315@qq.com> Thu, 20 Aug 2015 02:33:22 +0000 https://www.cnmysql.com/post/141/ https://about.gitlab.com/downloads/archives/

https://gitlab.com/gitlab-org/omnibus-gitlab/blob/master/doc/update/README.md#updating-from-gitlab-66-and-higher-to-710-or-newer
Updating from GitLab 6.6 and higher to the latest version

sudo gitlab-ctl stop unicorn
sudo gitlab-ctl stop sidekiq
sudo gitlab-ctl stop nginx
sudo gitlab-rake gitlab:backup:create

# Ubuntu/Debian:
sudo dpkg -i gitlab_x.x.x-omnibus.xxx.deb

# CentOS:
sudo rpm -Uvh gitlab-x.x.x_xxx.rpm

sudo gitlab-ctl reconfigure
sudo gitlab-ctl restart

sudo gitlab-ctl status
sudo gitlab-rake gitlab:check SANITIZE=true

Tags - gitlab , git升级 ]]> https://www.cnmysql.com/post/140/ kangyang <kangyang315@qq.com> Thu, 20 Aug 2015 01:59:32 +0000 https://www.cnmysql.com/post/140/ CC攻击原理
CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来攻击页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户（多少线程就是多少用户）不停地进行访问那些需要大量数据操作（就是需要大量CPU时间）的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。


1、第一种
#!/bin/sh
IP=`tail -1000 access.log| awk '{print $1}' | sort | uniq -c | sort -rn|awk '$1 > 100 {print $2}'`
for i in $IP
do
iptables -I INPUT -p tcp --dport 80 -s $i -j DROP
done

2、第二种
#!/bin/sh
status=`netstat -na|awk '$5 ~ /[0-9]+:[0-9]+/ {print $5}' |awk -F ":" -- '{print $1}' |sort -n|uniq -c |sort -n|tail -n 1`
NUM=`echo $status|awk '{print $1}'`
IP=`echo $status|awk '{print $2}'`
result=`echo "$NUM > 100" | bc`
if [ $result = 1 ]
then
echo IP:$IP is over $NUM, BAN IT! >> ip_deny.txt
/sbin/iptables -I INPUT -s $IP -j DROP
fi
Tags - cc攻击 , iptables ]]> https://www.cnmysql.com/post/139/ kangyang <kangyang315@qq.com> Thu, 20 Aug 2015 01:55:34 +0000 https://www.cnmysql.com/post/139/
用来区分DDoS攻击类型的名词很多，比如SYN Flood、UDP Flood、ICMP Flood、CC攻击等。从防护角度看，主要可以分为两种类型：带宽消耗型和资源消耗型。
带宽消耗型攻击
带宽消耗型攻击，目的是封堵系统的网络出入口，大都是基于简单网络协议，比如UDP或ICMP，向指定IP发送大量数据包。这类攻击，只能通过增加网络带宽来防御，如果流量特别大，超过了机房网络的承受范围，那只能使用第三方的流量清洗服务，例如安全宝、腾讯大禹系统等。

这类清洗服务，主要提供两类帮助：

域名通过CNAME解析，隐藏应用真实IP
域名解析的IP结果，是防护IP地址，攻击的流量只先到防护的机房，应用的真实IP，只对防护服务商可见。

流量清洗，筛选健康流量发回源站
服务商会通过技术手段，将攻击流量拦截，并筛选出健康流量发给应用。
资源消耗型攻击
资源消耗型攻击，主要目的是耗尽系统资源，比如SYN Flood，会导致主机建立大量TCP连接，耗尽系统句柄，CC攻击发起大量正常请求，超出业务应用的处理上限。这类攻击的流量大小，与攻击者使用的肉鸡数量有关。如果流量特别大，也需要使用上面提到的流量清洗服务。如果流量规模不大，可以通过简单的脚本，识别出攻击代理的IP，并进行屏蔽来防御。

网站使用的HTTP或SSL协议，都是基于传输层TCP协议的应用，TCP协议中的状态变化如下：

可以通过识别不同状态的TCP连接数量，来判断是否攻击IP。

例如，SYN Flood攻击，就是通过建立处于SYN状态的TCP连接，消耗服务器的句柄，遭受这种攻击时，服务器可以查看到，很多TCP连接处于syn-recv状态。

而CC攻击，通常都是向网站发起大量请求，与服务器建立大量TCP连接，状态大都处于established,time-wait,close-wait。

通过 Linux 系统中的ss命令，可以查看各种状态的TCP连接：
ss -ntu state syn-recv state established state time-wait
通过查看IP的TCP连接状态和数量，就能判断出这个IP是否用于DDoS攻击。

基于这个思路，针对资源消耗型攻击，我们开发了一个简单的脚本工具：AntiDDoS。在服务器上部署启动后，会定时查看TCP连接，超过指定连接数量的IP，会被加入iptables屏蔽一段时间，并发邮件通知系统管理员。

下载链接：
https://github.com/yeezon/AntiDDoS

iptables简单防护
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s --limit-burst 5 -j ACCEPT      #每秒中最多允许5个新连接
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT  #防止各种端口扫描
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT     #Ping洪水攻击（Ping of Death


屏蔽一个IP
# iptables -I INPUT -s 192.168.0.1 -j DROP

怎么防止别人ping我？？
# iptables -A INPUT -p icmp -j DROP

防止同步包洪水（Sync Flood）
# iptables -A FORWARD -p tcp –syn -m limit –limit 1/s -j ACCEPT

防止各种端口扫描
# iptables -A FORWARD -p tcp –tcp-flags SYN,ACK,FIN,RST RST -m limit –limit 1/s -j ACCEPT

Ping洪水攻击（Ping of Death）
#iptables -A FORWARD -p icmp –icmp-type echo-request -m limit –limit 1/s -j ACCEPT

# NMAP FIN/URG/PSH
# iptables -A INPUT -i eth0 -p tcp –tcp-flags ALL FIN,URG,PSH -j DROP



Tags - ddosiptables , ddos原理 ]]> https://www.cnmysql.com/post/138/ kangyang <kangyang315@qq.com> Tue, 06 Jan 2015 07:09:53 +0000 https://www.cnmysql.com/post/138/
pdo_mysql模块安装

如果没有安装pdo模块的需要先安装pdo模块，不然在编译pdo_mysql模块的时候会报如下错误：
configure: error: Cannot find php_pdo_driver.h.

1、进入源码模块目录编译pdo模块
cd /home/soft/nginx/php-5.5.14/ext/pdo
/usr/local/php/bin/phpize
./configure --with-php-config=/usr/local/php/bin/php-config --with-pdo-mysql=/usr/local/mysql

2、编译pdo_mysql
cd /home/soft/nginx/php-5.5.14/ext/pdo_mysql
/usr/local/php/bin/phpize
./configure --with-php-config=/usr/local/php/bin/php-config --with-pdo-mysql=/usr/local/mysql


编译完后vi php.ini
extension=/usr/local/php/lib/php/extensions/no-debug-non-zts-20121212/pdo_mysql.so
extension=/usr/local/php/lib/php/extensions/no-debug-non-zts-20121212/pdo.so

重启php-fpm
/etc/init.d/php-fpm restart

php -m  查看php的模块
或者：/usr/local/webserver/php/bin/php -r "phpinfo();"|grep -i pdo_mysql


Tags - php , pdo , pdo mysql ]]> https://www.cnmysql.com/post/137/ kangyang <kangyang315@qq.com> Mon, 05 Jan 2015 07:40:45 +0000 https://www.cnmysql.com/post/137/
1、安装
yum install -y ppp

2、服务器配置
  1、配置内核转发
      vi /etc/sysctl.conf
      ip_forword=1

   2、pptpd.conf配置

      [pptpd.conf]
      ppp /usr/sbin/pppd
      option /etc/ppp/options.pptpd
      connections 10     #最大连接数
      localip xx.xx.xx.xx  #本机ip，如有外网ip直接配置外网ip
      remoteip 192.168.99.234-240   #连接后分配的ip
      netmask 255.255.255.0            #分配的子网掩码
    
   3、options.pptpd配置
       name pptpd
       refuse-pap
       refuse-chap
       refuse-mschap
       proxyarp
       lock
       nobsdcomp
       novj
       novjccomp
       nologfd
       idle 2592000
       ms-dns 114.114.114.114
       ms-dns 8.8.8.8
    4、防火墙配置
      iptables -A INPUT -p gre -j ACCEPT
      iptables -A INPUT -p tcp -m tcp --dport 1723 -j ACCEPT
      iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
      iptables -A FORWARD -s 192.168.99.0/24 -o eth1 -j ACCEPT
      iptables -A FORWARD -d 192.168.99.0/24 -i eth1 -j ACCEPT
      iptables -t nat -A POSTROUTING -s 192.168.99.0/24 -o eth1 -j MASQUERADE
      iptables -A FORWARD -i ppp -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j TCPMSS --set-mss 135
      iptables -A FORWARD -s 192.168.99.0/255.255.255.0 -p udp -m udp --dport 53 -j ACCEPT
3、客户端配置




]]>