2018年6月

报错 1：
在启用插件后再进行禁用，再次启用的时候会出现42S01报错，只有删除数据库后重新启才可以，解决办法如下：

在Plugin.php文件中的115行处

if(('Mysql' == $type && 1050 == $code)

这句代码中的 && 应该改为 || ，Mysql错误编号1050代表的是表已经创建，这里的判断有点问题应该为 或 的关系 而不是 与 的关系

报错 2：
Links友情链接插件不能删除友情链接

Links友情链接插件不能删除友情链接
找到Action.php文件的第80行

$lids = $this->request->filter('int')->lid;

改为

$lids = $this->request->filter('int')->getArray('lid');

漏洞 3：
Typecho 友情链接插件 Links 越权漏洞

漏洞修补

当务之急是须封堵漏洞入口，亦即是对友链管理操作添加权限验证。为了配合 Links 插件原生设定为仅管理员可进入友链管理页面的这一设置，则现在需要把 Action.php 中的 action() 方法也限制为仅管理员可用，具体操作很简单，只需在 action() 方法内的开头位置插入下列代码即可。

$user = Typecho_Widget::widget('Widget_User');
$user->pass('administrator');

修改版本下载飞机直达
密码:i72b

如果在启用友链的时候出现42S01 需要进入数据库，删除对应的数据表

根据自己的需求在header.php中

添加代码

<div class="widget">        
            <h3><?php _e('链接'); ?></h3>        
            <ul>        
                <?php Links_Plugin::output(); ?>        
            </ul>        
</div>    


    
<?php Links_Plugin::output(); ?>

可替换为
如果想调用的为图片链接，则调用方式为：

<?php Links_Plugin::output("SHOW_IMG"); ?>

如果是图文的混合链接，则调用方式为：

<?php Links_Plugin::output("SHOW_MIX"); ?>

如果想限制侧边栏的链接数量，比如说为10个，则可调用：

<?php Links_Plugin::output("SHOW_TEXT", 10); ?>

如果想列出某个类别的链接，则可调用：

<?php Links_Plugin::output("SHOW_TEXT", 0, "testsort"); ?>

使用向导：建立独立的友情链接页面
建立独立的友情页面，可以直接用类似建立侧边栏的方式，在模板设计阶段，就设计好链接模板。也可以在后台的页面创建进行链接引用。

最简单的引用方式为：

<links></links>

如果想调用的为图片链接，则调用方式为：

<links>SHOW_IMG</links>

如果是图文的混合链接，则调用方式为：

<links>SHOW_MIX</links>

如果想限制侧边栏的链接数量，比如说为10个，则可调用：

<links 10>SHOW_TEXT</links>

图片链接依此类推。
如果想列出某个类别的链接，则可调用：

<links 0 testsort></links>

也可以用

<links testsort></links>

不过，后者要求分类必须以字母开头。

什么是 OCSP Stapling ??
OCSP (Online Certificate Status Protocol) 通常由 CA 提供，用于在线实时验证证书是否合法有效，
这样客户端就可以根据证书中的 OCSP 信息，发送查询请求到 CA 的验证地址，来检查此证书是否有效。
然而这些默认查询 OCSP 的客户端在获得查询结果的响应前势必会一直阻塞后续的事件，在网络情况堪忧的情况下
（尤其是大陆地区）会造成较长时间的页面空白。
而 OCSP Stapling ，顾名思义，是将查询 OCSP 接口的工作交给服务器来做，
服务器除了可以直接查询 OCSP 信息，还可以仅进行少数次查询并将响应缓存起来。
当有客户端向服务器发起 TLS 握手请求时，服务器将证书的 OCSP 信息随证书链一同发送给客户端，
从而避免了客户端验证会产生的阻塞问题。由于 OCSP 响应是无法伪造的，因此这一过程也不会产生额外的安全问题。

如何开启

Nginx
在配置文件的 server 块中添加如下内容

        
ssl_stapling on;            
ssl_stapling_verify on;            
ssl_trusted_certificate /path/to/certs/chained.pem;

随后检测配置并重载：

nginx -t        
nginx -s reload

Apache

修改主机配置文件：

        


SSLStaplingCache shmcb:/tmp/stapling_cache(128000)        
    <VirtualHost *:443>        
        SSLEngine on        
        SSLProtocol all -SSLv3 -SSLv2        
            
        SSLCertificateFile /path/to/your_domain.crt        
        SSLCertificateKeyFile /path/to/your_private.key        
        SSLCertificateChainFile /path/to/CA.crt        
            
        SSLUseStapling on        
    </VirtualHost>

然后使用 

systemctl reload apache

 或 

service apache reload

 重载 Apache ：

验证 OCSP Stapling 是否开启
使用 SSLLAB 自动验证
访问 https://www.ssllabs.com/ssltest/ ，输入欲测试的域名，稍等片刻后，如果发现结果中出现如下内容则证明已成功开启 OCSP Stapling ：
ssllabs
手动验证



echo QUIT | openssl s_client -connect www.example.com:443 -status 2> /dev/null | grep -A 17 'OCSP response:'

若结果为以下内容，则开启成功



OCSP response:        
    ======================================        
    OCSP Response Data:        
        OCSP Response Status: successful (0x0)        
        Response Type: Basic OCSP Response        
        Version: 1 (0x0)        
        Responder Id: C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3        
        Produced At: Mar 18 04:34:00 2017 GMT        
        Responses:        
        Certificate ID:        
          Hash Algorithm: sha1        
          Issuer Name Hash: 7EE66AE7729AB3FCF8A220646C16A12D6071085D        
          Issuer Key Hash: A84A6A63047DDDBAE6D139B7A64565EFF3A8ECA1        
          Serial Number: 03EFDB2DC2103617A9CB5D33E1BE28CA880D        
        Cert Status: good        
        This Update: Mar 18 04:00:00 2017 GMT        
        Next Update: Mar 25 04:00:00 2017 GMT

apache环境下，配置好https后，需要设置url重定向规则，使网站页面的http访问都自动转到https访问

1.先打开url重定向支持

1）打开/etc/httpd/conf/httpd.conf，找到 #LoadModule rewrite_module modules/mod_rewrite.so 去掉#号。(如果没有就手动添加)

2）找到你网站目录的段，比如我的网站目录是/var/www/html，找到

<Directory “/var/www/html”>
…
</Directory>

修改其中的 AllowOverride None 为 AllowOverride All

3）重启apache服务

2、设置重定向规则

1）在你网站目录下放一个.htaccess文件。windows环境下，不能把文件直接改名为.htaccess，会提示你必须输入文件名。所以我们先新建一个“新建文本文档.txt”文档，记事本打开，选择另存为，保存类型选择“所有文件(.)”，文件名输入“.htaccess”，保存。这样便生成了一个.htaccess文件。
2）编辑器打开.htaccess文件，写入如下规则：

RewriteEngine on
RewriteCond %{SERVER_PORT} !^443$
RewriteCond %{REQUEST_URI} !^/tz.php
RewriteRule (.*) https://%{SERVER_NAME}/$1 [R]

解释：
%{SERVER_PORT} —— 访问端口
%{REQUEST_URI} —— 比如如果url是 http://localhost/tz.php，则是指 /tz.php
%{SERVER_NAME} —— 比如如果url是 http://localhost/tz.php，则是指 localhost

以上规则的意思是，如果访问的url的端口不是443，且访问页面不是tz.php，则应用RewriteRule这条规则。这样便实现了：访问了 http://localhost/index.php 或者 http://localhost/admin/index.php 等页面的时候会自动跳转到 https://localhost/index.php 或者 https://localhost/admin/index.php，但是访问 http://localhost/tz.php 的时候就不会做任何跳转，也就是说 http://localhost/tz.php 和 https://localhost/tz.php 两个地址都可以访问。

HSTS

302 跳转是由浏览器触发的，服务器无法完全控制，这个需求导致了 HSTS(HTTP Strict Transport Security)的诞生。
HTSP 就是添加 header 头（add_header Strict-Transport-Security max-age=15768000;includeSubDomains），
告诉浏览器网站使用 HTTPS 访问，支持HSTS的浏览器（Chrome, firefox, ie 都支持了 HSTS
（http://caniuse.com/#feat=stricttransportsecurity））就会在后面的请求中直接切换到 HTTPS。在 Chrome 中会看到浏览器自己会有个 
307 Internal Redirect 的内部重定向。在一段时间内也就是max-age定义的时间，不管用户输入www.ttlsa.com还是http://www.ttlsa.com，
都会默认将请求内部跳转到https://www.ttlsa.com。
服务器端配置HSTS，减少302跳转，其实HSTS的最大作用是防止302 HTTP劫持。HSTS的缺点是浏览器支持率不高，
另外配置HSTS后HTTPS很难实时降级成HTTP。
同时，也建议启用SPDY来提高性能。有关SPDY内容参见前面文章，不在此外累述了。
下面来说说如何在Apache2, NGINX ， Lighttpd启用HSTS。

Apache2

在ssl.conf中：

# Optionally load the headers module:            
LoadModule headers_module modules/mod_headers.so            
                
<VirtualHost 0.0.0.0:443>            
 Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"            
</VirtualHost>

然后，重启Apache服务。

nginx

add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

在server端添加该头部，并重启服务

Lighttpd

server.modules += ( "mod_setenv" )        
        $HTTP["scheme"] == "https" {        
            setenv.add-response-header  = ( "Strict-Transport-Security" => "max-age=63072000; includeSubdomains; preload")    
    }

X-Frame-Options 头部
X-Frame-Options 头部添加到HTTPS站点，确保不会嵌入到frame 或 iframe，避免点击劫持，以确保网站的内容不会嵌入到其他网站。
Apache

Header always set X-Frame-Options DENY

nginx

add_header X-Frame-Options "DENY";

Lighttpd

server.modules += ( "mod_setenv" )        
$HTTP["scheme"] == "https" {        
setenv.add-response-header  = ( "X-Frame-Options" => "DENY")        
}
  1. 1
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. ...
  8. 19