Apache服務(wù)器走到那里，unix/linux就跟到那里，這足以說明在WEB服務(wù)器領(lǐng)域Apache的優(yōu)良性能與市場占有率
這今天互聯(lián)網(wǎng)的大環(huán)境下，web服務(wù)已經(jīng)成為公司企業(yè)必不可少的業(yè)務(wù)，大多數(shù)的安全問題也跟隨而來，攻擊重點(diǎn)也轉(zhuǎn)移為web攻擊，許多web與頗有價(jià)值的客戶服務(wù)與電子商業(yè)活動結(jié)合在一起，這也是吸引惡意攻擊重要原因。
先來了解下web所面臨的安全風(fēng)險(xiǎn)

HTTP拒絕服務(wù)攻擊
攻擊者通過某些手段使服務(wù)器拒絕對http應(yīng)答，這使Apache對系統(tǒng)資源（cup時(shí)間與內(nèi)存）需求巨增，最終造成系統(tǒng)變慢甚至完全癱瘓，Apache服務(wù)器最大的缺點(diǎn)是，它的普遍性使它成為眾矢之的，Apache服務(wù)器無時(shí)無刻不受到DoS攻擊威脅，主要有下邊幾種
1.數(shù)據(jù)包洪水攻擊
一種中斷服務(wù)器或本地網(wǎng)絡(luò)的方法是數(shù)據(jù)包洪水攻擊，它通常使用internet控制報(bào)文協(xié)議（ICMP，屬于網(wǎng)絡(luò)層協(xié)議）
包或是udp包，在最簡單的形式下，這些攻擊都是使服務(wù)器或網(wǎng)絡(luò)負(fù)載過重，這意味這攻擊者的網(wǎng)絡(luò)速度必須比目標(biāo)主機(jī)網(wǎng)絡(luò)速度要快，使用udp包的 優(yōu)勢是不會有任何包返回到黑客的計(jì)算機(jī)（udp效率要比tcp高17倍），而使用ICMP包的優(yōu)勢是攻擊者能讓攻擊更加富與變化，發(fā)送有缺陷的包會搞亂并 鎖住受害者的網(wǎng)絡(luò)，目前流行的趨勢是攻擊者欺騙服務(wù)器，讓其相信正在受來自自身的洪水攻擊
2.磁盤攻擊
這是一種很不道德的攻擊，它不僅影響計(jì)算機(jī)的通信，還破壞其硬件，偽造的用戶請求利用寫命令攻擊目標(biāo)計(jì)算機(jī)硬盤，讓其超過極限，并強(qiáng)制關(guān)閉，結(jié)局很悲慘
3.路由不可達(dá)
通常DoS攻擊，集中在路由器上，攻擊者首先獲得控制權(quán)并操縱目標(biāo)機(jī)器，當(dāng)攻擊者能更改路由表?xiàng)l目時(shí)候，會導(dǎo)致整個網(wǎng)絡(luò)無法通信，這種攻擊很陰險(xiǎn)，隱蔽，因?yàn)榫W(wǎng)絡(luò)管理員需要排除的網(wǎng)絡(luò)不通原因很多，其中一些原因需要詳細(xì)分辨
4.分布式拒絕服務(wù)攻擊
這也是最具有威脅的DDoS攻擊，名稱很容易理解，簡單說就是群歐，很多客戶機(jī)同時(shí)單條服務(wù)器，你會發(fā)現(xiàn)你將傷痕累累，Apache服務(wù)器特別容 易受到攻擊，無論是DDos還是隱藏來源的攻擊，因?yàn)锳pache無處不在，特別是為Apache特意打造的病毒（特選SSL蠕蟲），潛伏在許多主機(jī)上， 攻擊者通過病毒可以操縱大量被感染的機(jī)器，對特定目標(biāo)發(fā)動一次浩大的DDoS攻擊，通過將蠕蟲散播到大量主機(jī)，大規(guī)模的點(diǎn)對點(diǎn)攻擊得以進(jìn)行，除非你不提供 服務(wù)，要不然幾乎無法阻止這樣的攻擊，這種攻擊通常會定位到大型的網(wǎng)站上。

緩沖區(qū)溢出，這種攻擊很普遍，攻擊者利用CGI程序編寫一些缺陷程序偏離正常的流程，程序使用靜態(tài)的內(nèi)存分配，攻擊者就可以發(fā)送一個超長的請求使緩沖區(qū)溢出，比如，一些perl編寫的處理用戶請求的網(wǎng)關(guān)腳本，一但緩沖區(qū)溢出，攻擊者就可以執(zhí)行惡意指令

非法獲取root權(quán)限
如果Apache以root權(quán)限運(yùn)行，系統(tǒng)上一些程序的邏輯缺陷或緩沖區(qū)溢出漏洞，會讓攻擊者很容易在本地系統(tǒng)獲取linux服務(wù)器上的管理者權(quán) 限，在一些遠(yuǎn)程情況下，攻擊者會利用一些以root身份執(zhí)行的有缺陷的系統(tǒng)守護(hù)進(jìn)程來取得root權(quán)限，或利用有缺陷的服務(wù)進(jìn)程漏洞來取得普通用戶權(quán)限， 以遠(yuǎn)程登陸，進(jìn)而控制整個系統(tǒng)。

這邊這些都是服務(wù)將會遇到的攻擊手段，下邊來說，如何打造安全的Apache服務(wù)器
如果你能遵守下邊這些建議，那么你將得到一臺相對安全的apache服務(wù)器

一：勤打補(bǔ)丁
你必須要相信這個是最有用的手段，緩沖區(qū)溢出等漏洞都必須使用這種手段來防御，勤快點(diǎn)相信對你沒有壞處
在http:www.apache.org上最新的changelog中都寫有：bug fix ,security bug fix的字樣，做為負(fù)責(zé)任的管理員要經(jīng)常關(guān)注相關(guān)漏洞，及時(shí)升級系統(tǒng)添加補(bǔ)丁。使用最新安全版本對加強(qiáng)apache至關(guān)重要

二：隱藏和偽裝Apache的版本
打亂攻擊者的步驟，給攻擊者帶來麻煩，相信是管理員愿意看到的。軟件的漏洞信息和版本是相關(guān)的，在攻擊者收集你服務(wù)軟件信息時(shí)候給與迷惑是個不錯的選擇，何況版本號，對攻擊者來說相當(dāng)與GPS定位一樣重要
默認(rèn)情況，系統(tǒng)會把a(bǔ)pache版本模塊都顯示出來（http返回頭），如果列舉目錄的話，會顯示域名信息（文件列表正文），去除Apache版本號的方法是修改配置文件，找到關(guān)鍵字,修改為下邊
ServerSignature off
ServerTokens prod

通過分析web服務(wù)器類型，大致可以推測操作系統(tǒng)類型，win使用iis,linux普遍apache，默認(rèn)的Apache配置里沒有任何信息保 護(hù)機(jī)制，并且允許目錄瀏覽，通過目錄瀏覽，通常可以得到類似“apache/1.37 Server at apache.linuxforum.net Port 80”或“apache/2.0.49(unix)PHP/4.3.8”的信息
通過修改配置文件中的ServerTokens參數(shù)，可以將Apache的相關(guān)信息隱藏起來，如果不行的話，可能是提示信息被編譯在程序里了，要隱藏需要修改apache的源代碼，然后重新編譯程序，以替換內(nèi)容
編輯ap_release.h文件，
修改"#define AP_SERVER_BASEPRODUCT""Apache"""為
"#define AP_SERVER_BASEPRODUCT""Microsoft-IIS/5.0""
編輯os/unix/os.h文件
修改"#define PLATFORM""Unix"""為
"#define PLATFORM"'Win32"
修改完成后，重新編譯，安裝apache,在修改配置文件為上邊做過的，再次啟動apache后，用工具掃描，發(fā)現(xiàn)提示信息中已經(jīng)顯示為windows操作系統(tǒng)了
順便說下，現(xiàn)在這個論壇，就有點(diǎn)不太講究，這是論壇錯誤的返回信息，看了有點(diǎn)汗地感覺
Apache/2.2.8 (Ubuntu) DAV/2 SVN/1.4.6 mod_ssl/2.2.8 OpenSSL/0.9.8g Server at forum.ubuntu.org.cn Port 80
這個等于告訴惡意用戶很多有用信息，雖然說不算開了門，但等于被告訴了門在那里，還是相當(dāng)危險(xiǎn)的

三：建立安全的目錄結(jié)構(gòu)apache服務(wù)器包括四個目錄結(jié)構(gòu)
ServerRoot #保存配置文件，二進(jìn)制文件與其他服務(wù)器配置文件
DocumentRoot #保存web站點(diǎn)內(nèi)容，包括HTML文件和圖片等
ScripAlias #保存CGI腳本
Customlog 和 Errorlog #保存日志和錯誤日志
建議的目錄結(jié)構(gòu)為，以上四種目錄相互獨(dú)立并且不存在父子邏輯關(guān)系
注：
ServerRoot目錄只能為root用戶訪問
DocumentRoot目錄應(yīng)該能夠被管理web站點(diǎn)內(nèi)容的用戶訪問和使用apache服務(wù)器的apache用戶與組訪問
ScripAlias目錄應(yīng)該只能被CGI開發(fā)人員和apache用戶訪問
Customlog 和 Errorlog只能被root訪問
下邊是一個安全目錄結(jié)構(gòu)的事例
+-------/etc/
|
| +----/http (ServerRoot)
| +----/logs (Customlog 和 Errorlog)
|
+-------var/www
|
| +---/cgi-bin (ScripAlias)
| +---/html (DocumentRoot)

這樣的目錄結(jié)構(gòu)是比較安全的，因?yàn)槟夸浿g獨(dú)立，某個目錄權(quán)限錯誤不會影響到其他目錄

四：為apache使用專門的用戶與組
按照最小特權(quán)的原則，需要給apache分配一個合適的權(quán)限，讓其能夠完成web服務(wù)
注：
最小特權(quán)原則是系統(tǒng)安全中最基本的原則之一，限制使用者對系統(tǒng)及數(shù)據(jù)進(jìn)行存取所需要的最小權(quán)限，保證用戶可以完成任務(wù)，同時(shí)也確保被竊取或異常操作所造成的損失

必須保證apache使用一個專門的用戶與組，不要使用系統(tǒng)預(yù)定的帳戶，比如nobody用戶與nogroup組
因?yàn)橹挥衦oot用戶可以運(yùn)行apache，DocumentRoot應(yīng)該能夠被管理web站點(diǎn)內(nèi)容的用戶訪問和使用apache服務(wù)器的 apache用戶與組訪問，例如，希望“test”用戶在web站點(diǎn)發(fā)布內(nèi)容，并且可以以httpd身份運(yùn)行apache服務(wù)器，可以這樣設(shè)定
groupadd webteam
usermod -G webteam test
chown -R httpd.webteam /www/html
chmod -R 2570 /www/htdocs
只有root能訪問日志，推薦這樣的權(quán)限
chown -R root.root /etc/logs
chown -R 700 /etc/logs

五：web目錄的訪問策略
對于可以訪問的web目錄，要使用相對保守的途徑進(jìn)行訪問，不要讓用戶查看任何目錄索引列表
禁止使用目錄索引：
apache在接到用戶對一個目錄的訪問時(shí)，會查找DirectoryIndex指令指定的目錄索引文件，默認(rèn)為index.html，如果該文件不存在，那么apache會創(chuàng)建動態(tài)列表為用戶顯示該目錄的內(nèi)容，這樣就會暴露web站點(diǎn)結(jié)構(gòu)，因此需要修改配置文件禁止顯示動態(tài)目錄索引，修改httpd.conf
Options -Indexes FollowSymLinks
Options指令通知apache禁止使用目錄索引，F(xiàn)ollowSymLinks表示不允許使用符號連接。
禁止默認(rèn)訪問：
要的安全策略必須要禁止默認(rèn)訪問的存在，只對指定的目錄開放權(quán)限，如果允許訪問/var/www/html目錄，使用如下設(shè)定
Order deny,allow
Allow from all
禁止用戶重載：
為了禁止用戶對目錄配置文件（htaccess）進(jìn)行重載（修改），可以這樣設(shè)定
AllowOverride None

六：apache服務(wù)器訪問控制
apache的access.conf文件負(fù)責(zé)設(shè)置文件的訪問權(quán)限，可以實(shí)現(xiàn)互聯(lián)網(wǎng)域名和ip地址的訪問控制
如允許192.168.1.1到192.168.1.254的主機(jī)訪問，可以這樣設(shè)定
order deny,allow
deny from all
allow from pair 192.168.1.0/255.255.255.0

七：apache服務(wù)器的密碼保護(hù)
.htaccess文件是apache上的一個設(shè)置文件，它是一個文本文件，.htaccess文件提供了針對目錄改變配置的方法
既通過在一個特定的文檔目錄中放置一個包含一個或多個指令的文件（.htaccess文件），以作用于此目錄和子目錄。
.htaccess的功能包括設(shè)置網(wǎng)頁密碼，設(shè)置發(fā)生錯誤時(shí)出現(xiàn)的文件，改變首業(yè)的文件名（如，index.html）,禁止讀取文件名，重新導(dǎo)向文件，加上MIME類別，禁止目錄下的文件等。
注：.htaccess是一個完整的文件名，不是***.htaccess或其他格式，在/abc目錄下放置一個.htaccess文件，那么/abc與它的子目錄都會被這個文件影響，但/index.html不會被影響

.htaccess的建立和使用比較復(fù)雜點(diǎn)，如果感興趣的朋友可以回帖發(fā)問，這里就不 具體寫出來了，這種保護(hù)要比某些程序?qū)崿F(xiàn)的保護(hù)安全，那種方法可以通過被猜測方法獲取密碼，用.htaccess很難被破解，但文本方式的驗(yàn)證會比較慢， 對少量用戶沒影響，但對大量用戶就必須使用帶數(shù)據(jù)模塊的驗(yàn)證了，這需要編譯源代碼時(shí)候開啟模塊，默認(rèn)是不開啟的

八：讓apache運(yùn)行在“監(jiān)牢”中
“監(jiān)牢”的意思是指通過chroot機(jī)制來更改某個軟件運(yùn)行時(shí)所能看到的根目錄，簡單說，就是被限制在指定目錄中，保證軟件只能對該目錄與子目錄文件有所動作，從而保證整個服務(wù)器的安全，即使被破壞或侵入，損傷也不大
以前，unix/linux上的daemon都是以root權(quán)限啟動的，當(dāng)時(shí)，這是一件理所當(dāng)然的事情，像apache這樣的服務(wù)器軟件，需要綁 定到80端口上來監(jiān)聽請求，而root是唯一有這種權(quán)限的用戶，隨著攻擊手段和強(qiáng)度的增加，這樣會使服務(wù)器受到相當(dāng)大的威脅，一但被利用緩沖區(qū)溢出漏洞， 就可以控制整個系統(tǒng)。現(xiàn)在的服務(wù)器設(shè)計(jì)通常以root啟動，然后進(jìn)程放棄root權(quán)限，改為某個低級的帳號運(yùn)行。這種方式顯然會降低對系統(tǒng)的危害，但攻擊 者還是會尋找漏洞提升權(quán)限，即使無法獲得root權(quán)限，也可以刪除文件，涂改主頁等
為了進(jìn)一步提高系統(tǒng)安全性，linux內(nèi)核引入chroot機(jī)制，chroot是內(nèi)核中的一個系統(tǒng)調(diào)用，軟件可以通過調(diào)用函數(shù)庫的chroot 函數(shù)，來更改某個進(jìn)程所能見到的跟目錄，比如，apache軟件安裝在/usr/local/httpd目錄，以root啟動apache,這個root 權(quán)限的父進(jìn)程會派生數(shù)個以nobody權(quán)限運(yùn)行的子進(jìn)程，父進(jìn)程監(jiān)聽80端口，然后交給某個子進(jìn)程處理，這時(shí)候子進(jìn)程所處的目錄續(xù)承父進(jìn)程，即/usr /local/httpd目錄，但是一但目錄權(quán)限設(shè)定錯誤，被攻擊的apache子進(jìn)程可以訪問/usr/local , /usr ,/tmp甚至整個文件系統(tǒng)，因?yàn)閍pache進(jìn)程所處的跟目錄仍然是整個文件系統(tǒng)的跟目錄，如果可以用chroot將apache限制在/usr /local/httpd/下，那么apache所存取的文件都被限制在/usr/local/httpd下，創(chuàng)建chroot監(jiān)牢的作用就是將進(jìn)程權(quán)限 限制在文件目錄樹下，保證安全。
如果自己手動apache的監(jiān)牢，將是很煩瑣和復(fù)雜的工作，需要牽扯到庫文件，這里可以使用jail包來簡化監(jiān)牢的實(shí)現(xiàn)
jail的官方網(wǎng)站為： 有興趣可以逛逛
這里也不寫出具體的創(chuàng)建過程稍微麻煩，如果對安全有需要的話，請回帖，會及時(shí)補(bǔ)上

九：apache服務(wù)器防范Dos
apache服務(wù)經(jīng)常會碰到Dos攻擊，防范的主要手段是通過軟件，apahce Dos Evasive Maneuvers Module
來實(shí)現(xiàn)的，它是一款mod_access的代替軟件，可以對抗DoS攻擊，該軟件可以快速拒絕來自相同地址對同一URL的重復(fù)請求，通過查詢內(nèi)部一張各子進(jìn)程的哈希表來實(shí)現(xiàn)
可以到網(wǎng)址：http://online/.securityfocus.com/tools/ 上下載軟件

十：減少CGI和SSI風(fēng)險(xiǎn)
CGI腳本的漏洞已經(jīng)成為WEB服務(wù)器的首要安全隱患，通常是程序編寫CGI腳本產(chǎn)生了許多漏洞，控制CGI的漏洞除了在編寫時(shí)候注意對輸入數(shù)據(jù) 的合法檢查，對系統(tǒng)調(diào)用的謹(jǐn)慎使用等因素外，首先使用CGI程序所有者的ID來運(yùn)行這些程序，即使被漏洞危害也僅限于該ID能訪問的文件，不會對整個系統(tǒng) 帶來致命的危害，因此需要謹(jǐn)慎使用CGI程序。
1.3版的apache集成了suEXEC程序，可以為apache提供CGI程序的控制支持，可以把suEXEC看做一個包裝器，在Apache接到CGI程序的調(diào)用請求后，把這個請求交給suEXEC來負(fù)責(zé)完成具體調(diào)用，并從suEXEC返回結(jié)果，suEXEC可以解決一些安全問題，但會影響速度
如果是對安全性要求很高時(shí)候，建議使用suEXEC，此外還有一個軟件CGIWrap，它的安全性要高與suEXEC

減少SSI腳本風(fēng)險(xiǎn)，如果用exec等SSI命令運(yùn)行外部程序，也會存在類似CGI腳本風(fēng)險(xiǎn)，除了內(nèi)部調(diào)試程序時(shí)，應(yīng)使用
option命令禁止其使用：
Option IncludesNOEXEC

十一：使用ssl加固Apache
使用具有SSL功能的服務(wù)器，可以提高網(wǎng)站敏感頁的安全性能，SSL工作與TCP/IP協(xié)議和HTTP協(xié)議之間
SSL可以加密互聯(lián)網(wǎng)上傳遞的數(shù)據(jù)流，提供身份驗(yàn)證，在線購物而不必?fù)?dān)心別人竊取信用卡信息，在基于電子商務(wù)和基于web郵件的地方非常重要。
SSL的應(yīng)用相對還是比較麻煩的，有需要的話，可以發(fā)貼或查看資料，這幾就不多寫，篇幅不夠

從網(wǎng)上找到的，不知道好不好用，先存上，以后有機(jī)會測試一下。

Firestorm是一個用JAVA寫的代碼生成工具，可以替你節(jié)省很多的代碼量，可以說同類軟件中功能最強(qiáng)的一個。

Firestorm是一個用JAVA寫的代碼生成工具，可以替你節(jié)省很多的代碼量，可以說同類軟件中功能最強(qiáng)的一個。
你可以在網(wǎng)上下載到最新的2.3試用版本，同時(shí)網(wǎng)站會發(fā)給你一個試用的license文件。既然是試用，
那么在使用上肯定有一定的限制。主要限制有3個：
    1.只能最多生成5張表的DAO；
    2.有時(shí)間限制；
    3.不能自己定制代碼生成；

為了能夠更好的試用這個軟件，我得改改它，去掉這些限制。將firestorm.jar打開后，可以看到它使用了
混淆器進(jìn)行代碼保護(hù)，不同于大多數(shù)的混淆器生成的文件，它的class和package大部分都是以關(guān)鍵字來命名，
所以如果你用JAD之類的工具把它反編譯后是不能再把它編譯成功，編譯器會提示出錯誤。

反編譯后，找到幾個有關(guān)注冊的關(guān)鍵文件，發(fā)現(xiàn)它使用的是數(shù)字簽名技術(shù)來做的保護(hù)，所以想逆向找出
注冊碼的計(jì)算方法是不可行的了，只能通過修改文件的方法來破解。通常我們是先反編譯，然后再修改
反編譯后生成的原文件，最后再重新編譯。但是由于文件名和包名的關(guān)系我們無法進(jìn)行編譯，除非把它的
這些‘非法'的文件名和包名全部改成符合java語言規(guī)范的名稱，由于類，包眾多，互相調(diào)用也很
頻繁，所以這種方法幾乎不可能的。

另外一種方法就是使用softice之類的調(diào)試軟件來破解，不過這個脫離JAVA的范疇，這里不做討論。

還有一種方法可能很少有人用，就是先反編譯得到原文件，然后找到關(guān)鍵的方法后修改它的字節(jié)碼，
也就是class文件，這中方法往往需要你知道一些有關(guān)CLASS文件格式方面的知識（如果沒有也不用擔(dān)心），
有許多的處理字節(jié)碼的工具可以幫助你，比較流行的這類工具主要有：apache.org的BCEL;
jboss.com的javassist；objectweb.org的asm。都是出身名門哈。這3個工具各有特點(diǎn)，
這次我選用javassist，因?yàn)樗薷腸lass文件最方便，甚至不需要懂得字節(jié)碼和class文件格式。

讓我們來看看具體步驟：


step1:
    下載并安裝FIRESTORM。
step2:
    反編譯jar文件，閱讀代碼，找到關(guān)鍵的方法。當(dāng)然，我這里寫出來，你就不用再麻煩了。（其實(shí)這步是最
    麻煩的）。
    找到com.codefutures.if.if文件中的方法
        public static boolean a(java.security.PublicKey publickey,
                byte abyte0[], byte abyte1[])
            throws java.security.NoSuchAlgorithmException,
            java.security.NoSuchProviderException,
            java.security.InvalidKeyException,
            java.security.SignatureException {
            java.security.Signature signature = java.security.Signature.getInstance("SHA1withDSA", "SUN");
            signature.initVerify(publickey);
            signature.update(abyte0);
            return signature.verify(abyte1);
        }

    這個方法是對公鑰進(jìn)行檢驗(yàn)，修改的思路就是直接讓他返回一個true.

step2:
    收到firestorm.license文件后不要急著安裝，先修改如下：
        <custom-codegen>no</custom-codegen>
            改為
        <custom-codegen>yes</custom-codegen>

        <restriction>5</restriction>
            改為
        <restriction>none</restriction>

        <expiry-date>[日期]</expiry-date>
            改為
        <expiry-date>never</expiry-date>

    修改后放到firestorm的安裝路徑的license目錄。

step3:
    修改com.codefutures.if.if的class文件.這里我們需要寫一個小程序來完成實(shí)現(xiàn)：
        import javassist.ClassPool;
        import javassist.CtClass;
        import javassist.CtMethod;


        public class Test {
            
            public static void main(String[] args) throws Exception {
                ClassPool pool = ClassPool.getDefault();

                //設(shè)置目標(biāo)類的路徑，確保能夠找到需要修改的類，這里我指向firestorm.jar
                //解包后的路徑
                pool.insertClassPath("d:/work/firestorm/firestorm") ;    
                
                //獲得要修改的類
                CtClass cc = pool.get("com.codefutures.if.if");
                //設(shè)置方法需要的參數(shù)
                CtClass[] param = new CtClass[3] ;                
                param[0] = pool.get("java.security.PublicKey") ;
                param[1] = pool.get("byte[]") ;
                param[2] = pool.get("byte[]") ;

                //得到方法
                CtMethod m = cc.getDeclaredMethod("a", param);
                //插入新的代碼
                m.insertBefore("{return true ;}") ;
                //保存到文件里
                cc.writeFile() ;
            }
        }
    
    修改完后，你可以反編譯修改過的的class文件，看看代碼是否加入成功。

step4:
    將所有的class文件重新打包成firestorm.jar，然后替換
    [firestorm安裝路徑]/lib/firestorm.jar，再啟動firestorm即可。

隨著在線人數(shù)的不斷增加，WDA的附件每天增量很多，流量越來越大，從MRTG監(jiān)控到，忙時(shí)達(dá)到10M，導(dǎo)致空間商限制了WDA的流量。
分析流量大的原因，主要是因?yàn)樯蟼骱拖螺d附件占用了帶寬，找了很多解決辦法，終于用apache的bw_mod模塊解決了。
bw_mod是for apache2的，首先到http://apache.ivn.cl/下載最新的bw_mod模塊，目前是bw_mod v0.6。
　　　然后運(yùn)行apxs -i -a -c bw_mod-0.6.c，apxs請用絕對路徑。此命令會自動安裝bw_mod，并在apache配置文件httpd.conf自動加入
LoadModule bw_module          modules/bw_mod-0.6.so
安裝完成后，會在modules目錄下生成bw_mod-0.6.so 文件。
如果安裝過程沒有出錯的話，就可以開始進(jìn)行設(shè)置了。
在httpd.conf中的LoadModule bw_module          modules/bw_mod-0.6.so   下面加入以下設(shè)置指令：
           BandWidthModule On    
#啟動bw_mod模塊
          BandWidth  all 0
          #總的帶寬不用限制
          LargeFileLimit .rar 30 23000
＃限制所有大于30K的后綴名為.rar的文件的速率為23000字節(jié)/秒，即23K/秒
          LargeFileLimit .mp3 30 23000
          LargeFileLimit .wav 30 23000
         LargeFileLimit .jpg 10 27000
         LargeFileLimit .gif 5 27000
         LargeFileLimit .zip 50 30000
         LargeFileLimit .sis 50 30000
         LargeFileLimit .exe 50 30000
       安裝完畢后，網(wǎng)站速度有明顯好轉(zhuǎn)。 此模塊適用于提供文件下載的網(wǎng)站，限制文件下載速度。
apache2必須以DSO模式安裝
下載bw_mod-0.6.gz
Http://apache.ivn.cl
Bandwidth Module
Module homepage at Http://apache.ivn.cl

下載bw_mod-0.6.gz
#tar zxvf bw_mod-0.6.gz
#cd bw_mod-0.6
#apxs -i -a -c bw_mod-0.6.c
or
#apxs2 -i -a -c bw_mod-0.6.c
配置 (目錄只看明白這一種）其它方法大家有空說一下。
例如限制soft目錄下的文件下載速度，修改httpd.conf
<Directory "/var/www/html/soft">;
BandWidthModule On
BandWidth all 30720
</Directory>;

BandWidthModule On為啟用帶寬限制功能。
BandWidth all 30720第一個參數(shù)"all"為任何鏈接來源，第二個參數(shù)"30720"為限制帶寬為30KB。

詳細(xì)說明見bw_mod-0.6.txt

綁定寬度模塊（ON/OFF）（似乎翻譯成限制帶寬更好）
為使該模塊工作你需要設(shè)置為ON。缺省情況下模塊是不能工作的。也將不限制任何事情，
例如“BANDWIDTHMODULE ON

限制帶寬查錯[ON/OFF]
（缺省為OFF）當(dāng)使其能工作時(shí)LOG將輸出大量數(shù)據(jù)塊到錯誤LOG，這些數(shù)據(jù)用于差錯目的，并且不是經(jīng)常需要的，如果你很好奇你可以使其工作，但是注意這將使你的LOG增大很多，
例如：BANDWIDTHDEBUG ON

FORCEBANDWIDTHMODULE（ON|OFF）
缺省情況下。這一模塊將捕獲每一請求。這樣做的目的是更容易配置，如果你禁止了這一功能，你將不得不手工添加輸出過濾器，如果你只想讓某些需求被BW模塊處理這樣是有用的。
例如：FORCEBANDWIDTHMODULE OFF
ADD OUTPUTFILTERBYTYPE BW-MOD TEXT/HTML TEXT/PLAIN

BANDWIDTH[FROM][BYTES/S]
這個命令有兩個參數(shù)。FROM是連接數(shù)據(jù)源，它可以是一個完全的主機(jī)，域的一部分，一個IP地址，一個網(wǎng)關(guān)（如192。168。0。0/24或192。168。0。0/255。255。255。0）或者全部。
第二個參數(shù)指明源所能達(dá)到的總速度，如果速度為0，將不限制速度。
例如：BANDWIDTH LOCALHOST 10240
BANDWIDTH 192。168。218。5 0

MINBANDWIDTH[FROM][BYTES/S]
這一命令有兩個參數(shù)，F(xiàn)ROM是連接數(shù)據(jù)源，它可以是一個完全的主機(jī)，域的一部分，一個IP地址，一個網(wǎng)關(guān)（如192。168。0。0/24或192。168。0。0/255。255。255。0）或者全部。
第二個參數(shù)指明每一客戶端所能擁有的最小速度，這是什么意思呢，如果你有一個總共100KBYTES的速度，并且你設(shè)置MINBANDWIDTH值為50，那么不管你有多少個客戶，所有的客戶都將有最小50K的下載速度，
如果速度設(shè)置為0，你將使用缺省最小速度（256BYTES/S）
還有一個特殊的值是-1，這一值意味著每一客戶將有一個由BANDWIDTH決定的最高速度，請看例子：
BANDWIDTH ALL 102400
MINBANDWIDTH ALL 50000
上例將使第一個客戶有一個最高100K的速度。如果更多的客戶連接速度將被相應(yīng)分配但是每一客戶將有至少50K的速度（即使你有50個客戶）。
BANDWIDTH ALL 50000
MINBANDWIDTH ALL -1
上例是每一客戶有50K的最高速度。

LARGEFILELIMIT[TYPE][MINIMUM SIZE][BYTES/S]
TYPE。是是一個文件的后綴部分。或者使用*代表所有類型文件，你可以使用TGZ只匹配TAR-CAMPRESSED文件，。匹配影音文件，或者*匹配所有類型文件。
MINIMUM SIZE，是要匹配文件的大小（用KBYTES表示），這一方法你可以用于一個可能堵塞你帶寬的巨大的影音文件。
最后一個參數(shù)不言自明：允許的速度
例如：LARGEFILELIMIT 。AVI 500 10240
這將限制一個大于（等于）500KB的影音文件以10KB/S的速度傳送。

-BANDWIDTHPACKET[SIZE]
大概你根本用不上這個，它的缺省值為8192，幾乎對任何速度都是合適的，
SIZE的大小必須在1024和131072之間，一個過小的包將引起最大速度減慢，模塊將用更多的時(shí)間分割文件，如果你使用過大的值，模塊將調(diào)整為更低的速度。

-BANDWIDTHERROR[ERROR]
用 于傳送個性化錯誤代碼。缺省情況下，當(dāng)達(dá)到最大連接時(shí)，模塊將發(fā)布一個503 HTTP-SERVICE-UNAVAILABLE代碼，對一些用戶來說，收到錯誤信息是令人厭煩的。也不知道是哪里出錯。你可以使用一個 errordocument指明網(wǎng)頁出現(xiàn)503錯誤是你處于過重的連接負(fù)荷，但是有時(shí)候503并不由模塊發(fā)布。
所以。你可以用此設(shè)置在達(dá)到最大連接時(shí)返回錯誤代碼。你可以使用300到599之間的代碼，請注意，一些錯誤代碼已經(jīng)被使用。所以在使用任何數(shù)字之前請查閱一下代碼列表（在GOOGLE中搜尋一下HTTP ERROR）
當(dāng)測試時(shí)候。我曾經(jīng)使用過錯誤代碼510。這是已經(jīng)被定義的代碼
例如：個性化錯誤頁
ERRORDOCUMENT 510/ERRORS/MAXEONEXCEEDED。HTML
BANDWIDTHERROR 510
注意：有時(shí)候。個性化頁不顯示，我不能肯定問題所在。但是大多數(shù)情況下。它是由于被超過1024BYTES的網(wǎng)頁固定了。無論如何。如果你需要使用ErrorDocument的幫助，參考APACHE文檔

-MAXCONNECTION[FROM][MAX]
有兩個參數(shù)。FROM是連接數(shù)據(jù)源，它可以是一個完全的主機(jī)，域的一部分，一個IP地址，一個網(wǎng)關(guān)（如192。168。0。0/24或192。168。0。0/255。255。255。0）或者全部。
第二個參數(shù)是允許連接到源的最大連接數(shù)，任何超過最大連接數(shù)的連接將收到 503 Service Temporarily Unavailable
你需要對相同的源使用BANDWIDTH限制。不需要設(shè)置最低連接限制。你可以使用不限制設(shè)置。你可能奇怪為什么。因?yàn)槲矣孟嗤拇鎯臻g進(jìn)行BANDWIDTH限制和計(jì)算連接數(shù)
，所以我可以把存儲空間節(jié)省下來。如果你不設(shè)置BANDWIDTH于同一源。MAXCONNECTION將被忽略。
例如： BandWidth all 0
MaxConnection all 20
or
BandWidth all 0
BandWidth 192.168.0.0/24 10240
MaxConnection all 20
MaxConnection 192.168.0.0/24 5
請記住每一速度很大程度上依賴于你的連接，如果你沒有連接你不能得到更高的速度。
記住如果你沒有遵循指示并得到了莫名其妙的結(jié)果，請?jiān)诎l(fā)EMAIL給我之前重新檢查你的配置。

FAQ
（無特別命令）
1 為什么使用BW—MOD
如果你要限制一個站點(diǎn)所能使用 的最大速度或者限制每站點(diǎn)允許的最大連接。或者只是實(shí)驗(yàn)MOD
一些人告訴我。他們首先使用它來阻止小站點(diǎn)提供影音圖片或其他內(nèi)容時(shí)堵塞他們所有帶寬。
2我應(yīng)該怎么做
首先。閱讀文檔。如果你不能使其工作。或者你想詢問更多特性。請?jiān)L問主頁。并且提交請求。集注閱讀文檔和FAQ。如果請求已經(jīng)提交。我將馬上刪除副本。

3（略）
4 它是怎么工作的
這個模塊設(shè)置一個你設(shè)置的配制所占有的共享內(nèi)存。在這一空間它也存儲當(dāng)前使用的信息的計(jì)數(shù)（象當(dāng)前連接，使用的BW，時(shí)間。發(fā)送的字節(jié)等）
當(dāng)你設(shè)置了一個BW限制。這個模塊將進(jìn)行數(shù)據(jù)分割。并且分段傳送數(shù)據(jù)。在每段之間有一個小的延遲。這個延遲將被調(diào)整以在每一秒至少傳送一段數(shù)據(jù) 　你知道嗎，如果你的web server是采用apache那你就有機(jī)會通過安裝一個軟件模塊提高你的網(wǎng)站訪問速度，最大能有10倍之多！這可不是吹牛，你看看原理就明白了。這個神 通廣大的模塊就是mod_gzip. 它通過用和gzip一樣的壓縮算法對apache發(fā)出的頁面進(jìn)行壓縮，可能的話可以把頁面壓縮成為原來大小的十份之一。哪，如果10K的頁面只要傳1K這 不就是提速10倍嘛。當(dāng)然一般網(wǎng)頁只可以達(dá)到3-6倍。那也很不錯。對吧。連google這樣一個大的網(wǎng)站都采用這個技術(shù)。你還不快跟上？

這樣一個好東東，來來來，我告訴你如何安裝：分3步，1、下載，2、修改配置，3、測試。

1.下載
到http://www.remotecommunications.com/apache/mod_gzip 下載mod_gzip.c 還有它的補(bǔ)丁。

2.安裝, 配置
把mod_gzip放到你的apache的源代碼目錄下，新建一個mod_gzip目錄如果需要補(bǔ)丁(針對1.3.17.la版) 還需運(yùn)行:
patch mod_gizp.c
按你需要，在配置中選擇動態(tài)DSO或靜態(tài)編譯進(jìn)apache系統(tǒng)。如何處理在README中講得很清楚，如-add-module=mod_gzip.c, make,make install等等。這里不多講。

把下列配置加入httpd.conf尾部。

# MOD_GZIP configuration
mod_gzip_on Yes
mod_gzip_minimum_file_size 1002
mod_gzip_maximum_file_size 0
mod_gzip_maximum_inmem_size 60000
mod_gzip_item_include mime "application/x-httpd-php"
mod_gzip_item_include mime text/*
mod_gzip_item_include mime "httpd/unix-directory"
mod_gzip_dechunk Yes
mod_gzip_temp_dir "/tmp"
mod_gzip_keep_workfiles No
mod_gzip_item_include file ".php3$"
mod_gzip_item_include file ".txt$"
mod_gzip_item_include file ".html$"
mod_gzip_item_exclude file ".css$"
mod_gzip_item_exclude file ".js$"

在保存修改后運(yùn)行
…/bin/apachectl configtest確保配置修改無誤。
然后用 apachectl restart 指令重起服務(wù)。

3.修改，測試
在宣布做好了之前在測試一下是優(yōu)秀程序員的習(xí)慣。為了盡量不影響你的用戶的瀏覽，我們可以用把新的apache驅(qū)動在8080端口上或者用指令控制mod_gzip起作用的目錄,而不是一下子全用mod_gzip.
用法如下：

MOD_GZIP configuration

你再用IE4或netscape認(rèn)真的全面測試一遍，沒有問題后你就可以讓你的用戶很開心的發(fā)現(xiàn)'XX網(wǎng)站現(xiàn)在好快哦。'

Mod_gzip真的很神奇，100K的HTML大文檔只要12K就可以傳到用戶端了。越先采用這個技術(shù)你的用戶對你的網(wǎng)站的高速度印象就越深。不過有 所得必有所失，由于解壓是在客戶端進(jìn)行的，效果和用戶的瀏覽器有一定關(guān)系。筆者測試了MSIE4,5,5.5,netscape 4.5 , 6都運(yùn)行得很好. 不過java,jpg,gif等等是沒法壓縮的。