shirlyyi的半IT生活

　　當(dāng)服務(wù)器/主機(jī)【被】提交了漏洞到烏云網(wǎng)上該怎么辦?有人給出的答案是采用禁用函數(shù)的方法來(lái)保證服務(wù)器環(huán)境的安全。

　　但是，禁用函數(shù)真的是最好的選擇么?不是的!

　　AMH面板的開發(fā)者Amysql告訴我們，更好的選擇是Chroot!

　　AMH面板是一款LNMP面板，一方面，為了方便版本升級(jí)，另一方面，面板是開發(fā)者一個(gè)人開發(fā)的，所以AMH沒(méi)有像kangle,WDCP,LUM,webmin等采用二進(jìn)制文件實(shí)現(xiàn)平臺(tái)的環(huán)境，而是使用基于AMP的PHP程序來(lái)控制平臺(tái)。這樣，就要考慮到PHP的安全問(wèn)題了。由于PHP寫成的程序，所以需要大量的的使用exec,shell_exec兩個(gè)函數(shù)來(lái)實(shí)現(xiàn)面板和系統(tǒng)的信息交換處理。顯然，小蔣給出的限制函數(shù)的方法并不適合AMH這樣的面板。那么，Amysql如何解決PHP的運(yùn)行安全問(wèn)題呢?

　　Amysql采用了這樣的方法。對(duì)于AMH下的虛擬主機(jī)，一律開啟Chroot來(lái)保證安全，而控制臺(tái)PHP則關(guān)閉chroot來(lái)保證面板的正常運(yùn)作。

　　說(shuō)了這么多，那么什么是Chroot呢?

　　據(jù)維基百科的詞條解釋，Chroot本是Unix下的一個(gè)命令，但是，在PHP-FPM中，也是引入了這一功能。

　　維基詞條：chroot是在unix系統(tǒng)的一個(gè)操作，用于對(duì)當(dāng)前的程序和它的子進(jìn)程改變真實(shí)的磁盤根目錄。

　　Chroot的工作原理是什么呢?

　　由于LNMP環(huán)境下，PHP-FPM與Nginx的通信只能通過(guò)CGI實(shí)現(xiàn)，所以，如果你在FPM設(shè)置中對(duì)文件的根目錄進(jìn)行修改，那么，你的PHP程序就無(wú)法跨越這個(gè)指定的根目錄。而面板所在的虛擬主機(jī)，由于沒(méi)有開啟Chroot，所以使用的根目錄依然是系統(tǒng)的根目錄 /

　　具體解釋一下?

　　就拿我用的AMH面板的控制臺(tái)和普通虛擬主機(jī)來(lái)說(shuō)明。控制臺(tái)文件放在/home/Wwwroot/Index/Web文件夾下，普通主機(jī)的文件放在/home/wwwroot/Domain/web文件夾下。對(duì)于控制臺(tái)程序，由于沒(méi)有開啟Chroot，所以，這個(gè)PHP文件的實(shí)際位置和運(yùn)行位置相同，都是/home/wwwroot/Index/web/，而其根目錄就是/;對(duì)于普通虛擬主機(jī)，開啟Chroot,那么，雖然，運(yùn)行的文件的位置是/home/wwwroot/domain/web/index.php，但是經(jīng)過(guò)Chroot的導(dǎo)向，在PHP程序中，實(shí)際認(rèn)為的文件地址是/web/index.php。同時(shí)在/home/wwwroot/domain/為了使入侵者認(rèn)為自己進(jìn)入的是根系統(tǒng)，而仿照Unix的文件夾命名規(guī)則，創(chuàng)建了etc,usr,tmp,lib等文件夾，如同為PHP程序創(chuàng)建了一個(gè)沙盒.所以，使用Chroot的用戶不用害怕中國(guó)軍刀，因?yàn)樗荒茉谏潮P內(nèi)起作用，無(wú)法對(duì)主系統(tǒng)產(chǎn)生影響，從而造成經(jīng)濟(jì)損失。

　　沙盒(英語(yǔ)：sandbox)，有時(shí)也稱為沙箱，是為一些來(lái)源不可信、具備破壞力或無(wú)法判定程序意圖的程序提供試驗(yàn)的環(huán)境。然而，沙盒中的所有改動(dòng)對(duì)操作系統(tǒng)不會(huì)造成任何損失。通常，這種技術(shù)被計(jì)算機(jī)技術(shù)人員廣泛使用，尤其是計(jì)算機(jī)殺毒軟件行業(yè)，沙盒是一個(gè)觀察計(jì)算機(jī)病毒的重要環(huán)境。

　　我們都知道，在類Unix系統(tǒng)中，所有程序，甚至設(shè)備，都是由文件表示，我們所使用的ls,wget命令，事實(shí)上都對(duì)應(yīng)著一個(gè)特定的可執(zhí)行文件，而當(dāng)我們使用Chroot后，由于/home/wwwwroot/domain/usr下沒(méi)有相應(yīng)的文件，也就無(wú)法執(zhí)行相應(yīng)的命令。從而保證系統(tǒng)信息的安全。

　　與禁用函數(shù)相比，Chroot有什么優(yōu)點(diǎn)呢?

　　禁用函數(shù)是針對(duì)整個(gè)PHP程序而言的，所有需要通過(guò)PHP程序進(jìn)行解析的文件，都會(huì)受到禁用函數(shù)的設(shè)置。網(wǎng)站程序不同，那么有可能需要的函數(shù)不同，不同的虛擬主機(jī)無(wú)法單獨(dú)設(shè)置。而Chroot可以根據(jù)不同的虛擬主機(jī),進(jìn)行特異化設(shè)置。對(duì)于需要使用特殊函數(shù)的程序，可以關(guān)閉Chroot，來(lái)保證網(wǎng)站程序的正常運(yùn)轉(zhuǎn);程序不需要調(diào)用特殊的程序，就可以開啟Chroot模式;如果只是要啟用一個(gè)或兩個(gè)特定的程序，你可以仿照如下的過(guò)程添加函數(shù)。比如說(shuō)，當(dāng)我們開啟Chroot時(shí)，PHP程序是無(wú)法使用sendmail()函數(shù)來(lái)發(fā)信的，我們可以使用mini_sendmail替代sendmail來(lái)修復(fù)發(fā)信。

　　cd /home/wwwroot/www.ixiqin.com/

　　cp -P /bin/bash /bin/sh bin

　　cp /etc/passwd /etc/group etc

　　cd /tmp

　　wget http://centos.googlecode.com/files/mini_sendmail-1.3.6.tar.gz

　　tar xzf mini_sendmail-1.3.6.tar.gz

　　cd mini_sendmail-1.3.6

　　make

　　cp mini_sendmail /home/wwwroot/www.ixiqin.com/usr/sbin/sendmail

　　以上代碼，在/tmp目錄下編譯mini_sendmail，然后將生成的可執(zhí)行文件復(fù)制到chroot后目錄下相應(yīng)位置，以保證發(fā)件系統(tǒng)的正常運(yùn)行。

　　非AMH用戶如何使用Chroot功能

　　如果你是AMH的用戶，那你就省心了，因?yàn)锳mysql將這個(gè)功能集成到了模塊里，而且默認(rèn)情況下每一個(gè)虛擬主機(jī)都是開啟了安全模式的，你只需要在后臺(tái)下載AMChroot模塊，管理即可。如果你不是AMH用戶，也可以使用這個(gè)功能，只需要修改Nginx和PHP-FPM的配置文件即可。由于要把domain站點(diǎn)限制在/home/wwwroot/domain，所以對(duì)于php-fpm，此網(wǎng)站根目錄已經(jīng)變成是/web，所以我們需要更改Nginx傳遞給php-fpm的網(wǎng)站根目錄地址。

　　找到fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;，更改為fastcgi_param SCRIPT_FILENAME /web$fastcgi_script_name;同時(shí)，將php-fpm.conf文件中的Chroot改為chroot = /home/wwwroot/domain

　　有什么需要注意的呢?

　　Tips One:Chroot模式下，各種探針，如雅黑探針將會(huì)失效，報(bào)錯(cuò)。

　　Tips Two:Chroot模式可用做在線shell模擬器，安全真實(shí)。

　　綜合以上分析，我建議，與其使用死板的禁用函數(shù)，我們?yōu)槭裁床辉囋嚫雍糜玫腃hroot。

　　導(dǎo)語(yǔ)：美國(guó)《華爾街日?qǐng)?bào)》網(wǎng)絡(luò)版上周五刊登題為《網(wǎng)購(gòu)市場(chǎng)受益中國(guó)力量》(Internet Shopping Gets a Boost From China)的評(píng)論文章稱，隨著國(guó)內(nèi)市場(chǎng)的競(jìng)爭(zhēng)日益激烈，中國(guó)電子商務(wù)網(wǎng)站開始把發(fā)展目標(biāo)瞄向海外。而由于這類計(jì)劃有望幫助小型出口企業(yè)尋找更多客戶，因此也得到了政府的支持。

　　以下為文章全文：

　　中國(guó)互聯(lián)網(wǎng)零售商的根據(jù)地今年已經(jīng)成為全球第一大電子商務(wù)市場(chǎng)。他們下一個(gè)目標(biāo)瞄準(zhǔn)了美國(guó)，以及其他所有地方。

　　京東商城披露的數(shù)據(jù)顯示，該公司的國(guó)際網(wǎng)站過(guò)去一年已經(jīng)實(shí)現(xiàn)了數(shù)百萬(wàn)元人民幣的銷售額。阿里巴巴2010年推出的全球速賣通也在新興市場(chǎng)實(shí)現(xiàn)了迅猛增長(zhǎng)，僅在俄羅斯就吸引了70萬(wàn)注冊(cè)用戶。

　　中國(guó)企業(yè)之所以轉(zhuǎn)戰(zhàn)海外市場(chǎng)，一定程度上源于本土市場(chǎng)的激烈競(jìng)爭(zhēng)。“在中國(guó)，價(jià)格是最重要的因素，根本沒(méi)有多少用戶忠誠(chéng)度可言。”京東商城出口業(yè)務(wù)負(fù)責(zé)人劉思軍說(shuō)，“而在中國(guó)以外，服務(wù)則更加重要。”

　　京東商城在海外的毛利率大約為40%至50%，遠(yuǎn)高于本土電子商務(wù)公司15%至20%的水平。

　　一些有探索精神的中國(guó)人很早以前就開始通過(guò)eBay等平臺(tái)向海外銷售商品。現(xiàn)在，大企業(yè)也開始試水這一領(lǐng)域。不過(guò)，這些中國(guó)公司也都承認(rèn)，他們目前無(wú)法對(duì)亞馬遜等美國(guó)網(wǎng)絡(luò)零售商產(chǎn)生太大威脅。

　　不過(guò)，他們還是為消費(fèi)者提供了某些細(xì)分領(lǐng)域的購(gòu)物選擇。蘭亭集勢(shì)最初銷售結(jié)婚禮服，后來(lái)又拓展到根據(jù)水溫變換光照顏色的水龍頭等產(chǎn)品。

　　京東商城表示，中文書在海外很暢銷。酸奶機(jī)和中式面條機(jī)等海外市場(chǎng)難得一見的電子產(chǎn)品也賣得很好。

　　2013年上半年，接發(fā)材料和假發(fā)大約占到速賣通美妝和健康類產(chǎn)品總銷量的68%。美國(guó)買家大約占到75%。

　　去年，中國(guó)電子商務(wù)市場(chǎng)的規(guī)模已經(jīng)與美國(guó)市場(chǎng)相似。根據(jù)艾瑞咨詢的數(shù)據(jù)，中國(guó)市場(chǎng)仍在快速增長(zhǎng)，第三季度同比增幅達(dá)到42%，遠(yuǎn)超美國(guó)電子市場(chǎng)同期13%的增長(zhǎng)。

　　在中國(guó)大陸企業(yè)走向海外的過(guò)程中，由于地理位置接近且語(yǔ)言相通，所以中國(guó)香港和中國(guó)澳門成為了他們的首選目標(biāo)。唯品會(huì)就于本月在香港和澳門成立了網(wǎng)站。

　　一年前，海外擴(kuò)張還不在唯品會(huì)董事會(huì)的考慮之列，但他們現(xiàn)在已經(jīng)開始探索這種選擇。唯品會(huì)董事、紅杉資本董事總經(jīng)理劉星說(shuō)：“電子商務(wù)是一項(xiàng)全球性業(yè)務(wù)，很多中國(guó)電子商務(wù)公司都有國(guó)際野心。”

　　當(dāng)某投資基金的管理合伙人季衛(wèi)東準(zhǔn)備為他的第一個(gè)孩子在香港裝修一套公寓時(shí)，他的妻子在淘寶網(wǎng)上購(gòu)買了3盞吸頂燈。他認(rèn)為，同樣的燈在香港的價(jià)格要貴上10倍。

　　“中國(guó)電子商務(wù)網(wǎng)站為中國(guó)之外的用戶提供了價(jià)值。”曾經(jīng)擔(dān)任摩根士丹利亞洲互聯(lián)網(wǎng)和媒體研究部門主管的季衛(wèi)東說(shuō)。中國(guó)政府也希望為這一新的增長(zhǎng)領(lǐng)域提供支持，認(rèn)為這可以幫助小型出口商尋找客戶。