shirlyyi的半IT生活

　　當(dāng)服務(wù)器/主機(jī)【被】提交了漏洞到烏云網(wǎng)上該怎么辦?有人給出的答案是采用禁用函數(shù)的方法來保證服務(wù)器環(huán)境的安全。

　　但是，禁用函數(shù)真的是最好的選擇么?不是的!

　　AMH面板的開發(fā)者Amysql告訴我們，更好的選擇是Chroot!

　　AMH面板是一款LNMP面板，一方面，為了方便版本升級(jí)，另一方面，面板是開發(fā)者一個(gè)人開發(fā)的，所以AMH沒有像kangle,WDCP,LUM,webmin等采用二進(jìn)制文件實(shí)現(xiàn)平臺(tái)的環(huán)境，而是使用基于AMP的PHP程序來控制平臺(tái)。這樣，就要考慮到PHP的安全問題了。由于PHP寫成的程序，所以需要大量的的使用exec,shell_exec兩個(gè)函數(shù)來實(shí)現(xiàn)面板和系統(tǒng)的信息交換處理。顯然，小蔣給出的限制函數(shù)的方法并不適合AMH這樣的面板。那么，Amysql如何解決PHP的運(yùn)行安全問題呢?

　　Amysql采用了這樣的方法。對(duì)于AMH下的虛擬主機(jī)，一律開啟Chroot來保證安全，而控制臺(tái)PHP則關(guān)閉chroot來保證面板的正常運(yùn)作。

　　說了這么多，那么什么是Chroot呢?

　　據(jù)維基百科的詞條解釋，Chroot本是Unix下的一個(gè)命令，但是，在PHP-FPM中，也是引入了這一功能。

　　維基詞條：chroot是在unix系統(tǒng)的一個(gè)操作，用于對(duì)當(dāng)前的程序和它的子進(jìn)程改變真實(shí)的磁盤根目錄。

　　Chroot的工作原理是什么呢?

　　由于LNMP環(huán)境下，PHP-FPM與Nginx的通信只能通過CGI實(shí)現(xiàn)，所以，如果你在FPM設(shè)置中對(duì)文件的根目錄進(jìn)行修改，那么，你的PHP程序就無法跨越這個(gè)指定的根目錄。而面板所在的虛擬主機(jī)，由于沒有開啟Chroot，所以使用的根目錄依然是系統(tǒng)的根目錄 /

　　具體解釋一下?

　　就拿我用的AMH面板的控制臺(tái)和普通虛擬主機(jī)來說明。控制臺(tái)文件放在/home/Wwwroot/Index/Web文件夾下，普通主機(jī)的文件放在/home/wwwroot/Domain/web文件夾下。對(duì)于控制臺(tái)程序，由于沒有開啟Chroot，所以，這個(gè)PHP文件的實(shí)際位置和運(yùn)行位置相同，都是/home/wwwroot/Index/web/，而其根目錄就是/;對(duì)于普通虛擬主機(jī)，開啟Chroot,那么，雖然，運(yùn)行的文件的位置是/home/wwwroot/domain/web/index.php，但是經(jīng)過Chroot的導(dǎo)向，在PHP程序中，實(shí)際認(rèn)為的文件地址是/web/index.php。同時(shí)在/home/wwwroot/domain/為了使入侵者認(rèn)為自己進(jìn)入的是根系統(tǒng)，而仿照Unix的文件夾命名規(guī)則，創(chuàng)建了etc,usr,tmp,lib等文件夾，如同為PHP程序創(chuàng)建了一個(gè)沙盒.所以，使用Chroot的用戶不用害怕中國軍刀，因?yàn)樗荒茉谏潮P內(nèi)起作用，無法對(duì)主系統(tǒng)產(chǎn)生影響，從而造成經(jīng)濟(jì)損失。

　　沙盒(英語：sandbox)，有時(shí)也稱為沙箱，是為一些來源不可信、具備破壞力或無法判定程序意圖的程序提供試驗(yàn)的環(huán)境。然而，沙盒中的所有改動(dòng)對(duì)操作系統(tǒng)不會(huì)造成任何損失。通常，這種技術(shù)被計(jì)算機(jī)技術(shù)人員廣泛使用，尤其是計(jì)算機(jī)殺毒軟件行業(yè)，沙盒是一個(gè)觀察計(jì)算機(jī)病毒的重要環(huán)境。

　　我們都知道，在類Unix系統(tǒng)中，所有程序，甚至設(shè)備，都是由文件表示，我們所使用的ls,wget命令，事實(shí)上都對(duì)應(yīng)著一個(gè)特定的可執(zhí)行文件，而當(dāng)我們使用Chroot后，由于/home/wwwwroot/domain/usr下沒有相應(yīng)的文件，也就無法執(zhí)行相應(yīng)的命令。從而保證系統(tǒng)信息的安全。

　　與禁用函數(shù)相比，Chroot有什么優(yōu)點(diǎn)呢?

　　禁用函數(shù)是針對(duì)整個(gè)PHP程序而言的，所有需要通過PHP程序進(jìn)行解析的文件，都會(huì)受到禁用函數(shù)的設(shè)置。網(wǎng)站程序不同，那么有可能需要的函數(shù)不同，不同的虛擬主機(jī)無法單獨(dú)設(shè)置。而Chroot可以根據(jù)不同的虛擬主機(jī),進(jìn)行特異化設(shè)置。對(duì)于需要使用特殊函數(shù)的程序，可以關(guān)閉Chroot，來保證網(wǎng)站程序的正常運(yùn)轉(zhuǎn);程序不需要調(diào)用特殊的程序，就可以開啟Chroot模式;如果只是要啟用一個(gè)或兩個(gè)特定的程序，你可以仿照如下的過程添加函數(shù)。比如說，當(dāng)我們開啟Chroot時(shí)，PHP程序是無法使用sendmail()函數(shù)來發(fā)信的，我們可以使用mini_sendmail替代sendmail來修復(fù)發(fā)信。

　　cd /home/wwwroot/www.ixiqin.com/

　　cp -P /bin/bash /bin/sh bin

　　cp /etc/passwd /etc/group etc

　　cd /tmp

　　wget http://centos.googlecode.com/files/mini_sendmail-1.3.6.tar.gz

　　tar xzf mini_sendmail-1.3.6.tar.gz

　　cd mini_sendmail-1.3.6

　　make

　　cp mini_sendmail /home/wwwroot/www.ixiqin.com/usr/sbin/sendmail

　　以上代碼，在/tmp目錄下編譯mini_sendmail，然后將生成的可執(zhí)行文件復(fù)制到chroot后目錄下相應(yīng)位置，以保證發(fā)件系統(tǒng)的正常運(yùn)行。

　　非AMH用戶如何使用Chroot功能

　　如果你是AMH的用戶，那你就省心了，因?yàn)锳mysql將這個(gè)功能集成到了模塊里，而且默認(rèn)情況下每一個(gè)虛擬主機(jī)都是開啟了安全模式的，你只需要在后臺(tái)下載AMChroot模塊，管理即可。如果你不是AMH用戶，也可以使用這個(gè)功能，只需要修改Nginx和PHP-FPM的配置文件即可。由于要把domain站點(diǎn)限制在/home/wwwroot/domain，所以對(duì)于php-fpm，此網(wǎng)站根目錄已經(jīng)變成是/web，所以我們需要更改Nginx傳遞給php-fpm的網(wǎng)站根目錄地址。

　　找到fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;，更改為fastcgi_param SCRIPT_FILENAME /web$fastcgi_script_name;同時(shí)，將php-fpm.conf文件中的Chroot改為chroot = /home/wwwroot/domain

　　有什么需要注意的呢?

　　Tips One:Chroot模式下，各種探針，如雅黑探針將會(huì)失效，報(bào)錯(cuò)。

　　Tips Two:Chroot模式可用做在線shell模擬器，安全真實(shí)。

　　綜合以上分析，我建議，與其使用死板的禁用函數(shù)，我們?yōu)槭裁床辉囋嚫雍糜玫腃hroot。

　　導(dǎo)語：美國《華爾街日報(bào)》網(wǎng)絡(luò)版上周五刊登題為《網(wǎng)購市場受益中國力量》(Internet Shopping Gets a Boost From China)的評(píng)論文章稱，隨著國內(nèi)市場的競爭日益激烈，中國電子商務(wù)網(wǎng)站開始把發(fā)展目標(biāo)瞄向海外。而由于這類計(jì)劃有望幫助小型出口企業(yè)尋找更多客戶，因此也得到了政府的支持。

　　以下為文章全文：

　　中國互聯(lián)網(wǎng)零售商的根據(jù)地今年已經(jīng)成為全球第一大電子商務(wù)市場。他們下一個(gè)目標(biāo)瞄準(zhǔn)了美國，以及其他所有地方。

　　京東商城披露的數(shù)據(jù)顯示，該公司的國際網(wǎng)站過去一年已經(jīng)實(shí)現(xiàn)了數(shù)百萬元人民幣的銷售額。阿里巴巴2010年推出的全球速賣通也在新興市場實(shí)現(xiàn)了迅猛增長，僅在俄羅斯就吸引了70萬注冊用戶。

　　中國企業(yè)之所以轉(zhuǎn)戰(zhàn)海外市場，一定程度上源于本土市場的激烈競爭。“在中國，價(jià)格是最重要的因素，根本沒有多少用戶忠誠度可言。”京東商城出口業(yè)務(wù)負(fù)責(zé)人劉思軍說，“而在中國以外，服務(wù)則更加重要。”

　　京東商城在海外的毛利率大約為40%至50%，遠(yuǎn)高于本土電子商務(wù)公司15%至20%的水平。

　　一些有探索精神的中國人很早以前就開始通過eBay等平臺(tái)向海外銷售商品。現(xiàn)在，大企業(yè)也開始試水這一領(lǐng)域。不過，這些中國公司也都承認(rèn)，他們目前無法對(duì)亞馬遜等美國網(wǎng)絡(luò)零售商產(chǎn)生太大威脅。

　　不過，他們還是為消費(fèi)者提供了某些細(xì)分領(lǐng)域的購物選擇。蘭亭集勢最初銷售結(jié)婚禮服，后來又拓展到根據(jù)水溫變換光照顏色的水龍頭等產(chǎn)品。

　　京東商城表示，中文書在海外很暢銷。酸奶機(jī)和中式面條機(jī)等海外市場難得一見的電子產(chǎn)品也賣得很好。

　　2013年上半年，接發(fā)材料和假發(fā)大約占到速賣通美妝和健康類產(chǎn)品總銷量的68%。美國買家大約占到75%。

　　去年，中國電子商務(wù)市場的規(guī)模已經(jīng)與美國市場相似。根據(jù)艾瑞咨詢的數(shù)據(jù)，中國市場仍在快速增長，第三季度同比增幅達(dá)到42%，遠(yuǎn)超美國電子市場同期13%的增長。

　　在中國大陸企業(yè)走向海外的過程中，由于地理位置接近且語言相通，所以中國香港和中國澳門成為了他們的首選目標(biāo)。唯品會(huì)就于本月在香港和澳門成立了網(wǎng)站。

　　一年前，海外擴(kuò)張還不在唯品會(huì)董事會(huì)的考慮之列，但他們現(xiàn)在已經(jīng)開始探索這種選擇。唯品會(huì)董事、紅杉資本董事總經(jīng)理劉星說：“電子商務(wù)是一項(xiàng)全球性業(yè)務(wù)，很多中國電子商務(wù)公司都有國際野心。”

　　當(dāng)某投資基金的管理合伙人季衛(wèi)東準(zhǔn)備為他的第一個(gè)孩子在香港裝修一套公寓時(shí)，他的妻子在淘寶網(wǎng)上購買了3盞吸頂燈。他認(rèn)為，同樣的燈在香港的價(jià)格要貴上10倍。

　　“中國電子商務(wù)網(wǎng)站為中國之外的用戶提供了價(jià)值。”曾經(jīng)擔(dān)任摩根士丹利亞洲互聯(lián)網(wǎng)和媒體研究部門主管的季衛(wèi)東說。中國政府也希望為這一新的增長領(lǐng)域提供支持，認(rèn)為這可以幫助小型出口商尋找客戶。