VPS侦探 » PHP http://www.vpser.net 致力于VPS主机推荐、VPS管理维护、VPS优惠信息及VPS相关的信息共享平台 Mon, 06 Feb 2012 01:24:08 +0000 en hourly 1 http://wordpress.org/?v=3.3.1 请各位lnmp用户检查php pathinfo设置！重要！ http://www.vpser.net/security/lnmp-php-pathinfo.html http://www.vpser.net/security/lnmp-php-pathinfo.html#comments Thu, 09 Jun 2011 01:32:03 +0000 VPSer http://www.vpser.net/?p=2331 由于脚本编写时出错导致可能存在pathinfo漏洞，请所有lnmp用户检查一下php的pathinfo设置！！！

编辑/usr/local/php/etc/php.ini 文件，搜索 cgi.fix_pathinfo ，如果cgi.fix_pathinfo 该行为 ; cgi.fix_pathinfo=0 请修改为 cgi.fix_pathinfo=0
或直接执行：sed -i 's/; cgi.fix_pathinfo=0/cgi.fix_pathinfo=0/g' /usr/local/php/etc/php.ini

再执行：/usr/local/php/sbin/php-fpm restart重启

如果是cgi.fix_pathinfo=0则没问题，不需要修改。
请各位lnmp用户检查一下，防止pathinfo漏洞给网站或服务器带来安全隐患。

安装包文件都已经更新。
2011.6.9，9:30分以后下载安装的脚本里已解决此问题。

感谢lnmp用户的反馈，感谢各位对lnmp的支持。

相关文章：

© VPSer for VPS侦探, 2011. | Permalink | 20 comments | Add to del.icio.us
Post tags: , , ,

美国VPS推荐 | 军哥代购 - 提供美国及海外VPS/VPN/域名代购，美元/欧元代付 QQ：503228080

]]> http://www.vpser.net/security/lnmp-php-pathinfo.html/feed 20 LNMP一键安装包 PHP自动升级脚本 http://www.vpser.net/manage/lnmp-upgrade-php-script.html http://www.vpser.net/manage/lnmp-upgrade-php-script.html#comments Tue, 15 Mar 2011 02:14:56 +0000 VPSer http://www.vpser.net/?p=2027

前一段时间完成了lnmp一键安装包的PHP自动升级脚本，今天发布出来，如果想升级PHP版本的lnmp用户可以试用一下。支持目前lnmp的所有版本。

只能有低版本升级到高版本不能降级。可以升级到现有PHP 5.2.14到PHP 5.3.5除5.3.0、5.3.1、5.3.2的几个过渡版本之外的PHP版本，如果PHP发布新的版本，只有安装方式上不发生变化就可以一直使用。注意：升级PHP后eaccelerator、ionCube需要重新安装（不能使用lnmp0.6中的脚本安装！！）。

升级脚本使用方法：

执行：wget http://soft.vpser.net/lnmp/upgrade_php.sh;/bin/bash upgrade_php.sh

注意：版本号一定要输入正确否则将会升级失败！

升级后将会使用/etc/init.d/php-fpm {start|stop|quit|restart|reload|logrotate} 进行管理。

php-fpm配置文件路径为：/usr/local/php/etc/php-fpm.conf

php配置文件路径为：/usr/local/php/etc/php.ini

如果升级到PHP5.3.*，php-fpm的配置文件将会与PHP5.2.* 有所不同，php-fpm可以通过访问量来自动调整php-fpm的进程数，可以通过调整pm.max_children的值来增减php-fpm的最大进程数。

注意：升级到PHP5.3.*后可能部分PHP程序会存在兼容性问题。升级有风险，升级需谨慎，虽然脚本会自动备份配置文件，建议升级前最好还是自己备份一下。

如有问题欢迎到论坛lnmp区反馈。

本文原创，谢绝转载！

相关文章：

© VPSer for VPS侦探, 2011. | Permalink | 26 comments | Add to del.icio.us
Post tags: , , , ,

美国VPS推荐 | 军哥代购 - 提供美国及海外VPS/VPN/域名代购，美元/欧元代付 QQ：503228080

]]> http://www.vpser.net/manage/lnmp-upgrade-php-script.html/feed 26 lnmp之安装PHP模块(不需要重装PHP) http://www.vpser.net/manage/lnmp-php-install-ext.html http://www.vpser.net/manage/lnmp-php-install-ext.html#comments Mon, 16 Aug 2010 14:34:21 +0000 VPSer http://www.vpser.net/?p=1468 VPS侦探一直在努力的去营造一个VPS相关话题的交流环境，于是有了很多的VPS相关的教程、QQ群、有了论坛、有了LNMP一键安装包...

VPS侦探主要根据论坛上lnmp版块用户反映来写一些教程，今天说一下如何为lnmp的php安装一些自己需要的模块。

本文以imap和exif模块为例。

一、安装imap模块

1、安装imap模块前需要先安装imap所需的库：

CentOS ：yum install libc-client-devel

Debian：apt-get install libc-client-dev

2、首先进入php安装目录的ext目录

比如php的安装目录为：/root/lnmp0.4-full/php-5.2.10/

则执行：cd /root/lnmp0.4-full/php-5.2.10/ext/

我们要安装imap模块，执行cd imap/

再执行 /usr/local/php/bin/phpize 会返回如下信息：
Configuring for:
PHP Api Version:         20041225
Zend Module Api No:      20060613
Zend Extension Api No:   220060519

再执行以下命令：

[root@vpser imap]# ./configure --with-php-config=/usr/local/php/bin/php-config

[root@vpser imap]# make && make install

执行完返回：

Build complete.
Don't forget to run 'make test'.

Installing shared extensions:     /usr/local/php/lib/php/extensions/no-debug-non-zts-20060613/

表示已经成功，再修改/usr/local/php/etc/php.ini

查找：extension = 再最后一个extension= 后面添加上extension = "imap.so"

保存，执行/root/lnmp restart 重启。

在浏览器里面输入http://ip/p.php，打开探针，安装IMAP模块前：

安装IMAP模块后：

二、安装exif模块

安装exif不需要另外安装库，所以省略掉了安装库的步骤。

比如php的安装目录为：/root/lnmp0.4-full/php-5.2.10/

则执行：cd /root/lnmp0.4-full/php-5.2.10/ext/

我们要安装exif模块，执行cd exif/

再执行 /usr/local/php/bin/phpize 会返回如下信息：
Configuring for:
PHP Api Version:         20041225
Zend Module Api No:      20060613
Zend Extension Api No:   220060519

再执行以下命令：

[root@vpser imap]# ./configure --with-php-config=/usr/local/php/bin/php-config

[root@vpser imap]# make && make install

执行完返回：

Build complete.
Don't forget to run 'make test'.

Installing shared extensions:     /usr/local/php/lib/php/extensions/no-debug-non-zts-20060613/

表示已经成功，再修改/usr/local/php/etc/php.ini

查找：extension = 再最后一个extension= 后面添加上extension = "exif.so"

保存，执行/root/lnmp restart 重启。

在/home/wwwroot/下面创建一个exif.php的文件，内容如下：

<?php

$exif = read_exif_data ('IMG_0001.JPG');
while(list($k,$v)=each($exif)) {
echo "$k: $v<br>\n";
}

?>

其中IMG_0001.JPG为照片文件。

未安装exif模块前：

安装exif模块后：

可以读出照片的exif信息。

安装其他模块也基本上都是这两种方式，当./configure --with-php-config=/usr/local/php/bin/php-config 执行这个的时候是会检查系统上库是否安装上，如果没有安装上就会报错，按错误提示安装相关的库就行。

如果还有其他问题，可以到http://bbs.vpser.net提问，记得提问前在http://bbs.vpser.net/search.php搜索一下哦。

相关文章：

© VPSer for VPS侦探, 2010. | Permalink | 14 comments | Add to del.icio.us
Post tags: , , , , ,

美国VPS推荐 | 军哥代购 - 提供美国及海外VPS/VPN/域名代购，美元/欧元代付 QQ：503228080

]]> http://www.vpser.net/manage/lnmp-php-install-ext.html/feed 14 再提供一种解决Nginx文件类型错误解析漏洞的方法 http://www.vpser.net/manage/path_info-securit-bug.html http://www.vpser.net/manage/path_info-securit-bug.html#comments Fri, 21 May 2010 17:11:20 +0000 VPSer http://www.vpser.net/?p=1220 昨日，80Sec 爆出Nginx具有严重的0day漏洞，详见《Nginx文件类型 错误解析漏洞》。只要用户拥有上传图片权限的Nginx+PHP服务器，就有被入侵的可能。

其实此漏洞并不是Nginx的漏 洞，而是PHP PATH_INFO的漏洞，详见：http://bugs.php.net/bug.php?id=50852&edit=1

例如用户上传了一张照片，访问地址为http://www.domain.com/images/test.jpg，而test.jpg文件内的内 容实际上是PHP代码时，通过http://www.domain.com/images/test.jpg/abc.php就能够执行该文 件内的PHP代码。

网上提供的临时解决方法有：

方法①、修改php.ini，设置 cgi.fix_pathinfo = 0;然后重启php-cgi。此修改会影响到使用PATH_INFO伪静态的应用，例如我以前博文的URL：http://blog.s135.com/read.php/348.htm 就不能访问了。

方法②、在nginx的配置文件添加如下内容后重启：if ( $fastcgi_script_name ~ \..*\/.*php ) {return 403;}。该匹配同样会一并干掉类似“/read.php/348.htm”的URI。

方法③、对于存储图片的location{...}，或虚拟主机server{...}，只允许纯静态访问，不配置PHP访问。例如在金山逍遥网论坛、 SNS上传的图片、附件，会传送到专门的图片、附件存储服务器集群上（pic.xoyo.com），这组服务器提供纯静态服务，无任何动态PHP配置。各 大网站几乎全部进行了图片服务器分离，因此Nginx的此次漏洞对大型网站影响不大。

本人再提供一种修改 nginx.conf配置文件的临时解决方法，兼容“http://blog.s135.com/demo/0day/phpinfo.php/test” 的PATH_INFO伪静态，拒绝“http://blog.s135.com/demo/0day/phpinfo.jpg/test.php” 的漏洞攻击：

location ~* .*\.php($|/)
{
if ($request_filename ~* .*\.php$) {
set $is_path_info '0';
}
if (-e $request_filename) {
set $is_path_info '1';
}
if ($is_path_info ~ '0') {
return 403;
}

fastcgi_pass  127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}

也可将以下内容写在 fcgi.conf文件中，便于多个虚拟主机引用：

if ($request_filename ~* .*\.(php|php5)$) {
set $is_path_info '0';
}
if (-e $request_filename) {
set $is_path_info '1';
}
if ($is_path_info ~ '0') {
return 403;
}

fastcgi_param  GATEWAY_INTERFACE  CGI/1.1;
fastcgi_param  SERVER_SOFTWARE    nginx;

fastcgi_param  QUERY_STRING       $query_string;
fastcgi_param  REQUEST_METHOD     $request_method;
fastcgi_param  CONTENT_TYPE       $content_type;
fastcgi_param  CONTENT_LENGTH     $content_length;

fastcgi_param  SCRIPT_FILENAME    $document_root$fastcgi_script_name;
fastcgi_param  SCRIPT_NAME        $uri;
fastcgi_param  REQUEST_URI        $request_uri;
fastcgi_param  DOCUMENT_URI       $document_uri;
fastcgi_param  DOCUMENT_ROOT      $document_root;
fastcgi_param  SERVER_PROTOCOL    $server_protocol;

fastcgi_param  REMOTE_ADDR        $remote_addr;
fastcgi_param  REMOTE_PORT        $remote_port;
fastcgi_param  SERVER_ADDR        $server_addr;
fastcgi_param  SERVER_PORT        $server_port;
fastcgi_param  SERVER_NAME        $server_name;

# PHP only, required if PHP was built with --enable-force-cgi-redirect
fastcgi_param  REDIRECT_STATUS    200;

转载自：http://blog.s135.com/nginx_0day/

相关文章：

© VPSer for VPS侦探, 2010. | Permalink | One comment | Add to del.icio.us
Post tags: , , ,

美国VPS推荐 | 军哥代购 - 提供美国及海外VPS/VPN/域名代购，美元/欧元代付 QQ：503228080

]]> http://www.vpser.net/manage/path_info-securit-bug.html/feed 1 Linux VPS Nginx+PHP环境下ionCube安装教程 http://www.vpser.net/build/ioncube-howto.html http://www.vpser.net/build/ioncube-howto.html#comments Tue, 02 Feb 2010 02:24:24 +0000 VPSer http://www.vpser.net/?p=896

前些天研究whmcs，文章首发在Licess's Blog，等第九主机的测试VPS几天了也没信，见VPS侦探上文章又好几天不更新了，索性拿过来吧。在自己的VPS上安装试一下，但是提示：Site error: the file /home/test/whmcs/index.php requires the ionCube PHP Loader ioncube_loader_lin_5.2.so to be installed by the site administrator.

根据上面的提示看来是因为没有安装ionCube。(注：安装了lnmp一键安装包的可以在lnmp解压后的目录执行./ionCube.sh 进行安装。)

首先，执行uname -a 查看系统是32位还是64位，打开http://www.ioncube.com/loaders.php页面根据Linux是32位还是64位下载适当的软件包，比如我的是32位的，切换到/usr/local/目录，执行cd /usr/local ，wget http://downloads2.ioncube.com/loader_downloads/ioncube_loaders_lin_x86.tar.gz 下载，再执行tar zxvf ioncube_loaders_lin_x86.tar.gz 解压软件包。

修改/usr/local/php/etc/php.ini 在文件尾部添加如下代码：

[ionCube Loader]
zend_extension="/usr/local/ioncube/ioncube_loader_lin_5.2.so"

如果以前装有Zend Optimizer，安装ionCube会和Zend Optimizer发生冲突，再执行/usr/local/php/php-fpm reload 时会发生如下错误：The Loader must appear as the first entry in the php.ini file in Unknown on line 0

须将Zend Optimizer的代码放在ionCube的后面，如LNMP中是如下代码，修改完成再执行/usr/local/php/php-fpm restart 。

[Zend Optimizer]
zend_optimizer.optimization_level=1
zend_extension="/usr/local/zend/ZendOptimizer.so"

修改完成，记得/usr/local/php/php-fpm reload 重新加载配置，查看phpinfo。

This program makes use of the Zend Scripting Language Engine:
Zend Engine v2.2.0, Copyright (c) 1998-2009 Zend Technologies
with eAccelerator v0.9.5.3, Copyright (c) 2004-2006 eAccelerator, by eAccelerator
with the ionCube PHP Loader v3.3.10, Copyright (c) 2002-2009, by ionCube Ltd.

相关文章：

© VPSer for VPS侦探, 2010. | Permalink | 4 comments | Add to del.icio.us
Post tags: , , , ,

美国VPS推荐 | 军哥代购 - 提供美国及海外VPS/VPN/域名代购，美元/欧元代付 QQ：503228080

]]> http://www.vpser.net/build/ioncube-howto.html/feed 4 VPS初始化及Nginx+MySQL+PHP/PHPMyAdmin安装优化 http://www.vpser.net/build/vps-nginx-mysql-php.html http://www.vpser.net/build/vps-nginx-mysql-php.html#comments Wed, 25 Mar 2009 06:38:34 +0000 VPSer http://www.vpser.net/?p=85 VPS购买来了，不能就这么放在，对吧。下面给大家说一下VPS买来之后的初始化操作，及Nginx+MySQL+PHP+PHPMyAdmin+eAcelerator+vsftpd这些软件的编译安装。

一、登录VPS

登录的方式很多，如果是Linux直接ssh就可以。

下面以Windows下putty为例：

putty

填写上IP或域名，再写个名字，save ，然后Open

1

二、安装LNMP(基于CentOS)

安装Nginx+MySQL+PHP+PHPMyAdmin+eAcelerator+vsftpd使用Licess的LNMP。

有些VPS默认是安装Apahche的，如果安装了，请先执行：yum -y remove httpd

下面是按照的过程使用的命令，及相关注释(注释用 //，红色加粗为所使用的命令)，LNMP已更新，新版请到http://blog.licess.cn/lnmp/ 看新教程。

Using username "root".
root@67.215.242.196's password:
[root@vpser ~]#cd /usr/local/src
[root@vpser src]#ls
[root@vpser src]#wget http://licess.googlecode.com/files/LNMP.zip      //下载LNMP文件
--11:29:51--  http://licess.googlecode.com/files/LNMP.zip
Resolving licess.googlecode.com... 209.85.173.82
Connecting to licess.googlecode.com|209.85.173.82|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 11261 (11K) [application/x-zip]
Saving to: `LNMP.zip'

100%[=======================================>] 11,261      --.-K/s   in 0.1s

11:29:52 (111 KB/s) - `LNMP.zip' saved [11261/11261]

[root@vpser src]#unzip LNMP.zip        //解压LNMP压缩包
Archive:  LNMP.zip
   creating: LNMP/
   creating: LNMP/conf/
  inflating: LNMP/conf/fcgi.conf
  inflating: LNMP/conf/nginx-load.conf
  inflating: LNMP/conf/nginx-proxy.conf
  inflating: LNMP/conf/nginx.conf
  inflating: LNMP/conf/php-fpm.conf
  inflating: LNMP/down.sh
  inflating: LNMP/install.sh
  inflating: LNMP/opt.sh
  inflating: LNMP/readme.txt
  inflating: LNMP/startup.sh
[root@vpser src]#cd LNMP
[root@vpser LNMP]#ls
conf  down.sh  install.sh  opt.sh  readme.txt  startup.sh
[root@vpser LNMP]#chmod +x install.sh down.sh        //为install.sh和down.sh添加执行权限
[root@vpser LNMP]#./down.sh                                                   //下载安装所需的源代码文件
=========================================================================
LNMP v0.0.1 for VPS  Written by Licess
=========================================================================

For more information please visit http://blog.licess.cn/lnmp/

start download LNMP package
...............................省略下载过程

download package finished!

=========================================================================
[root@vpser LNMP]#clear
[root@vpser LNMP]#ls
conf                          mysql-5.0.22.tar.gz
down.sh                       nginx-0.7.19.tar.gz
eaccelerator-0.9.5.3.tar.bz2  opt.sh
install.sh                    pcre-7.7.tar.gz
libiconv-1.12.tar.gz          php-5.2.6-fpm-0.5.9.diff.gz
libmcrypt-2.5.8.tar.gz        php-5.2.6.tar.gz
mcrypt-2.6.7.tar.gz           phpMyAdmin-3.1.1-all-languages.tar.gz
memcache-2.2.3.tgz            readme.txt
mhash-0.9.9.tar.gz            startup.sh
[root@vpser LNMP#]./install.sh        //开始安装
=========================================================================
LNMP v0.0.1 for VPS  Written by Licess
=========================================================================
A tool to auto-compile & install Nginx+MySQL+PHP on Linux
For more information please visit http://blog.licess.cn/lnmp/
The path of some dirs:
mysql dir:   /usr/local/mysql
php dir:     /usr/local/php
nginx dir:   /usr/local/nginx
web dir      /web/www

=========================================================================

3

在此步中输入你要绑定的域名，例如：diavps.vpser.net  ,回车确认。
Please input domain:
(Default domain: www.lnmp.org):diavps.vpser.net
===========================
domain=diavps.vpser.net
===========================

Press any key to start...                                     \\再次按任意键确认，开始安装
Loading "fastestmirror" plugin
......................................

开始安装........

4

PS：屏幕疯狂的滚动.......欣赏一下

5

经过漫长的等待(时间不确定，根据实际情况，我的是半个多小时)，终于安装完了。

6

下面看一下PHPInfo

7

PHPMyAdmin:

8

程序安装路径：
MySQL :   /usr/local/mysql
PHP :     /usr/local/php
Nginx :   /usr/local/nginx
PHPMyAdmin /web/www/phpmyadmin
Web目录    /web/www

MySQL  用户：root  密码：root

通过下面这几个链接查看phpinfo和管理MySQL
phpinfo    http://ip/phpinfo.php
phpMyAdmin http://ip/phpmyadmin

让Nginx开机后手动执行 /root/run.sh 后Nginx会运行 ，开机自动运行可以运行 LNMP目录下面的 startup.sh 文件即可。

opt.sh 为优化文件，如果内存小于128MB可以通过执行 ./opt.sh 添加swap分区，并修改时区为东8区。注：并不一定在所有的VPS上都可以添加swap分区，swvps不可以，其他没有测试。

安装完后，请立即修改您的MySQL的root密码，使用命令cd /usr/local/mysql/bin

再执行：./mysqladmin -u root -p password mypasswd          //mypasswd为自己的密码

输入这个命令后，需要输入root的原密码，然后root的密码将改为mypasswd。
把命令里的root改为你的用户名，你就可以改你自己的密码了。

进入phpmyadmin目录/web/www/phpmyadmin  将 config.default.php 修改为config.inc.php

修改这个文件的 $cfg['Servers'][$i]['auth_type'] = 'http';

                                $cfg['blowfish_secret'] = 'VPSER';    //VPSER为任意字符

保存，然后就可以登录了。

安装vsftp：
下载vsftpd-for-LNMP.zip：执行 wget http://blog.licess.cn/uploads/200903/vsftpd-for-LNMP.zip

unzip vsftpd-for-LNMP.zip

cd vsftpd for LNMP

./installvsftpd.sh

安装完毕后即可使用你的SSH的帐号和密码登录，也可以修改/etc/vsftpd.chroot限制用户在家目录里。默认添加了adminftp用户，但是没有设置密码，可以执行passwd adminftp 来设置密码，或者userdel admintpd 删除用户。

执行 adduser -d /web/www/user1 -s /sbin/nologin user1  来添加一个不能SSH登录的FTP帐号，家目录为/web/www/user1 但是没有限制，添加限制，请修改/etc/vsftpd.chroot 添加要限制的用户。

更详细的关于LNMP的可以看：http://blog.licess.cn/lnmp/

可能在安装过程中遇到什么问题可以在下面留言。

相关文章：

© VPSer for VPS侦探, 2009. | Permalink | 23 comments | Add to del.icio.us
Post tags: , , , , , ,

美国VPS推荐 | 军哥代购 - 提供美国及海外VPS/VPN/域名代购，美元/欧元代付 QQ：503228080

]]> http://www.vpser.net/build/vps-nginx-mysql-php.html/feed 23