nginx on 戲中話

Nchan安裝 - 編譯原始碼

herb09638@gmail.com (Herb) — Mon, 26 Mar 2018 04:00:00 +0800

編譯原始碼

以下流程皆是在CentOS 7下進行，其他系統雖有不同，但都大同小異。

編譯前的準備

安裝編譯所需套件

產生自簽的SSL憑證

herb09638@gmail.com (Herb) — Sun, 21 Jan 2018 00:00:00 +0800

只是做個紀錄

$ openssl genrsa -des3 -passout pass:x -out server.pass.key 2048
...
$ openssl rsa -passin pass:x -in server.pass.key -out server.key
writing RSA key
$ rm server.pass.key
$ openssl req -new -key server.key -out server.csr
...
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:California
...
A challenge password []:
$ openssl x509 -req -sha256 -days 365 -in server.csr -signkey server.key -out server.crt

Nginx ssl config

CentOS上的Nginx在新版Chrome上無法啟動 HTTP/2

herb09638@gmail.com (Herb) — Thu, 27 Jul 2017 00:00:00 +0800

我一直以為我在設定檔裡加入http2 就會開啟http2

server {
 listen 443 ssl http2;

結果我用 Chrome 內建的工具檢查

卻沒有啟動 HTTP/2

chrome://net-internals/#http2

這才驚覺我的網站一直都沒有啟動HTTP/2

原來是 CentOS 內建的OpenSSL版本

沒有支援 ALPN

導致Chrome會自動切換成HTTP/1.1

 # ./openssl version 
OpenSSL 1.0.1e-fips 11 Feb 2013

但是用 yum update這就已經是最新版本

所以只好自己編譯新版OpenSSL了

整理 exited on signal 11 (SIGSEGV) 解決方法

herb09638@gmail.com (Herb) — Fri, 07 Apr 2017 00:00:00 +0800

[06-Apr-2017 22:55:02] WARNING: [pool www] child 6785 exited on signal 11 (SIGSEGV) after 7896.992354 seconds from start

首先這個錯誤是某個php script崩潰

不是error也不是遇到什麼錯誤

而是執行過程整個process崩潰

查了一些資料

整理出有幾個原因

在CentOS7 上安裝Nginx + ModSecurity建立免費WAF

herb09638@gmail.com (Herb) — Sun, 12 Mar 2017 00:00:00 +0800

WAF是Web Application Firewall的縮寫

其原理是將已知的攻擊手法，用匹配方式偵測並阻擋

所以可以預想得到

規則會列很多條

也不一定全面

只需要熟悉漏洞原理的人

照樣可以繞過

但有總比沒有好

至少可以過濾掉大部分的script kiddie

除了ModSecurity之外

還有一個專門for nginx的WAF叫做naxsi

這個有機會也可以試用看看

不過這次先用ModSecurity

要把nginx跟ModSecurity結合

必須要自己compile nginx和ModSecurity

以下用我寫的shell script一步一步做講解

Step 1. 安裝compile所需套件