Vixual

本站曾用過 Limit Login Attempts 這個 WordPress 的外掛程式，用以防止被暴力破解登入密碼。當有人一直以錯誤的密碼進行登入時，就會對其 IP 進行幾個小時的封鎖，然後 mail 通知你又有什麼 IP 被封鎖了，效果其實也還不錯。

不過其實只要用「.htaccess 的權限認證方式」，就可以針對 wordpress 的 wp-login.php 這個單一檔案做防護，也可以達到很好的效果。

.htaccess 認證

首先找一個安全的地方放置 .htusers 這個檔案。所謂的「安全」，是指至少不要在網頁可以被下載到的路徑。.htusers 的設定方式請參考本站另一篇文章:

• .htaccess 的權限認證方式

密碼請不要用跟 WordPress 原本的登入密碼一樣。

編輯 wordpress 目錄下的 .htaccess，在檔案最後如入:

AuthType Basic
AuthName "Restricted Area"
AuthUserFile "/path/to/.htusers"
<Files wp-login.php>
require valid-user
</Files>

如果你想進一步針對整個 wp-admin 目錄做防護，則進到 wordpress 下的 wp-admin 目錄，新增或編輯 .htaccess，一樣在檔案最後如入:

AuthType Basic
AuthName "Restricted Area"
AuthUserFile "/path/to/.htusers"
require valid-user

參考網頁

• Dynamic Drive: .htaccess password generator
• 限制WordPress後台登入次數、封鎖IP、防駭客入侵 – 香腸炒魷魚
• 幫WordPress後台築城牆 « 高登工作室
• 隱藏 WordPress 後台網址 « 高登工作室
• WordPress 如何防範暴力攻擊 Brute Force Attack « 高登工作室

OpenSSL Heartbleed 漏洞

Linux 站長請檢測您的網站是否有 OpenSSL 的 Heartbleed 嚴重漏洞，此漏洞會造成加密的封包在網路上被截取:

• OpenSSL 影響版本: 1.0.1 ~ 1.0.1f / 1.0.2-beta ~ 1.0.2-beta1
• OpenSSL 修復版本: 1.0.1g / 1.0.2-beta2

檢測方法

至「Test your server for Heartbleed」輸入你的網站網址做檢測。

參考網頁

• OpenSSL CVE-2014-0160 Heartbleed 嚴重漏洞 | DEVCORE 戴夫寇爾
• CVE - CVE-2014-0160
• Test your server for Heartbleed (CVE-2014-0160)
• https://www.openssl.org/news/secadv_20140407.txt

這些程式的執行檔通常是放在 C:\Windows\System32\，可在這些地方執行指令:

• 開始功能表的「執行」
• Win + R 的執行視窗
• Win + Q 或 Win + S 的搜尋視窗
• cmd 命令提示字元
• 檔案總管的「網址列」

PS.某些程式只存在特定版本的 Windows

Read more

Linode VPS 自從四月的「記憶體容量加倍」的優惠昇級之後，最近又有新的驚喜了，Linode 乾脆就來個「磁碟容量加倍」免費大放送，每個方案的磁碟容量都加倍，人人都有獎，不過要去領取才行。

Read more

這是我在 Facebook 上看到的安全資訊，我覺得很重要，也適用在任何的網站套件上。

以 WordPress 為例，首先，請查看你的 WordPress 目錄下是否有這些檔案:

Read more

安裝了一台新的 Linux Server，有個來自中國的 IP「218.25.253.100」連續好幾天一直在嘗試以 ssh 登入我的 Server，雖然我也裝了 fail2ban，不過只設三個小時的封鎖時間，所以每天會看到 fail2ban 告訴我這個 IP 被封鎖了 n 次!!看了很煩，所以直接用 iptables 把它給封鎖了。
Read more

「VPN」是一種常用於中、大型企業或團體與團體間的私人網路的通訊方法。藉由 VPN 所建立的加密通道，可以讓你從外部存取公司內部的資源，或透過連線到 VPN 的 Server 當跳板，去存取被限制的外部資源 (俗稱「翻牆」)。

在使用 VPN 之前，你得先有一台提供服務的 VPN Server，現在滿多人會去租用國外的 VPS 當 Server，要架站兼翻牆，Linode 是不錯的選擇。

以下把握幾個重點即可快速完成 Linux 的 PPTP 的 VPN Server 架設:

• PPP - 點對點協定 (Point-to-Point Protocol)
• PPTP - 點對點通道協定 (Point-to-Point Tunneling Protocol)
• iptables - 設定封包轉發規則

安裝步驟

1. 判斷 ppp 是否可用:

$ cat /dev/ppp
cat: /dev/ppp: No such device or address

如果出現跟上面一樣的訊息「No such device or address」，那不用擔心，這表示 ppp 是可用的，可以正常架設 pptp。

如果出現的是「Permission denied」，表示 ppp 是關閉的，下面的步驟就可以不用再看了。
Read more

最近我用 yum 在安裝套件時，突然出現這些錯誤訊息:

---> Package glibc-headers.x86_64 0:2.12-1.107.el6 will be installed
--> Processing Dependency: kernel-headers >= 2.2.1 for package: glibc-headers-2.12-1.107.el6.x86_64
--> Processing Dependency: kernel-headers for package: glibc-headers-2.12-1.107.el6.x86_64
--> Finished Dependency Resolution
Error: Package: glibc-headers-2.12-1.107.el6.x86_64 (base)
           Requires: kernel-headers >= 2.2.1
Error: Package: glibc-headers-2.12-1.107.el6.x86_64 (base)
           Requires: kernel-headers
 You could try using --skip-broken to work around the problem
 You could try running: rpm -Va --nofiles --nodigest

錯誤訊息有提到跟 "kernel" 有關!!

原來是我當初為了不讓 yum 自動更新 Kernel，所以我在 "/etc/yum.conf" 加了這一行:

exclude=kernel*

把這一行刪除就好了。之後如果遇到有關 Kernel 的失敗狀況，應該都是這個問題。

Fail2Ban 可以用來防護 Linux Server 上的 SSH、vsftp、dovecot...等服務免於遭駭客使用暴力密碼入侵。我以前曾寫過即時封鎖想要入侵 SSH 的程式，不過 Fail2Ban 厲害多了，也完全可以取代我寫的程式。

安裝 Fail2Ban

安裝前可以先用下列指令來查看可安裝的版本:

yum info fail2ban

像我的系統 (CentOS 5.x) 查出來有兩個版本: 0.8.14 與 0.6.0，來自不同的套件庫，但預設卻安裝 0.6.0，所以我必須要指定安裝的版本為 0.8.14，以下的說明也是針對 0.8.*。

安裝 Fail2Ban:

yum install fail2ban

或

yum install fail2ban-版本

啟動 Fail2Ban:

service fail2ban start
chkconfig fail2ban on

Read more

明明已經用 yum 安裝 php-mcrypt 了，在登入 phpMyAdmin 時，卻出現了錯誤訊息:

無法讀取 mcrypt 模組, 請檢查 PHP 設定

執行 php -v ，也出現:

PHP Warning:  PHP Startup: Unable to load dynamic library '/usr/lib64/php/modules/module.so' - /usr/lib64/php/modules/module.so: cannot open shared object file: No such file or directory in Unknown on line 0
; Enable mcrypt extension module

依照錯誤訊息，到 /usr/lib64/php/modules/ 查看，確實沒有「module.so」，倒是有一個 「mcrypt.so」。
Read more