iptables -F //清空规则

iptables -A INPUT -p tcp –dport 22 -j ACCEPT /*允许包从22端口进入*/ iptables -A OUTPUT -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT /*允许从22端口进入的包返回*/ iptables -A OUTPUT -p udp –dport 53 -j ACCEPT iptables -A INPUT -p udp –sport 53 -j ACCEPT iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT /*允许本机访问本机*/ iptables -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT iptables -A INPUT -p tcp -s 0/0 –dport 80 -j ACCEPT /*允许所有IP访问80端口*/ iptables -A OUTPUT -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT iptables-save > /etc/sysconfig/iptables /*保存配置或者使用命令 service iptables save */ iptables -L

系统连接状态篇：

1.查看TCP连接状态
netstat -nat |awk '{print $6}'|sort|uniq -c|sort -rn
netstat -n | awk '/^tcp/ {++S[$NF]};END {for(a in S) print a, S[a]}' 或
netstat -n | awk '/^tcp/ {++state[$NF]}; END {for(key in state) print key,"t",state[key]}'
netstat -n | awk '/^tcp/ {++arr[$NF]};END {for(k in arr) print k,"t",arr[k]}'
netstat -n |awk '/^tcp/ {print $NF}'|sort|uniq -c|sort -rn
netstat -ant | awk '{print $NF}' | grep -v '[a-z]' | sort | uniq -c

2.查找请求数请20个IP（常用于查找攻来源）：

netstat -anlp|grep 80|grep tcp|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -n20

netstat -ant |awk '/:80/{split($5,ip,":");++A[ip[1]]}END{for(i in A) print A[i],i}' |sort -rn|head -n20

3.用tcpdump嗅探80端口的访问看看谁最高
tcpdump -i eth0 -tnn dst port 80 -c 1000 | awk -F"." '{print $1"."$2"."$3"."$4}' | sort | uniq -c | sort -nr |head -20

4.查找较多time_wait连接
netstat -n|grep TIME_WAIT|awk '{print $5}'|sort|uniq -c|sort -rn|head -n20

5.找查较多的SYN连接
netstat -an | grep SYN | awk '{print $5}' | awk -F: '{print $1}' | sort | uniq -c | sort -nr | more

6.根据端口列进程
netstat -ntlp | grep 80 | awk '{print $7}' | cut -d/ -f1

网站日志分析篇1（Apache）：

1.获得访问前10位的ip地址
cat access.log|awk '{print $1}'|sort|uniq -c|sort -nr|head -10
cat access.log|awk '{counts[$(11)]+=1}; END {for(url in counts) print counts[url], url}'

2.访问次数最多的文件或页面,取前20 cat access.log|awk '{print $11}'|sort|uniq -c|sort -nr|head -20

3.列出传输最大的几个exe文件（分析下载站的时候常用）
cat access.log |awk '($7~/.exe/){print $10 " " $1 " " $4 " " $7}'|sort -nr|head -20

4.列出输出大于200000byte(约200kb)的exe文件以及对应文件发生次数
cat access.log |awk '($10 > 200000 && $7~/.exe/){print $7}'|sort -n|uniq -c|sort -nr|head -100

5.如果日志最后一列记录的是页面文件传输时间，则有列出到客户端最耗时的页面
cat access.log |awk  '($7~/.php/){print $NF " " $1 " " $4 " " $7}'|sort -nr|head -100

6.列出最最耗时的页面(超过60秒的)的以及对应页面发生次数
cat access.log |awk '($NF > 60 && $7~/.php/){print $7}'|sort -n|uniq -c|sort -nr|head -100

7.列出传输时间超过 30 秒的文件
cat access.log |awk '($NF > 30){print $7}'|sort -n|uniq -c|sort -nr|head -20

8.统计网站流量（G)
cat access.log |awk '{sum+=$10} END {print sum/1024/1024/1024}'

9.统计404的连接
awk '($9 ~/404/)' access.log | awk '{print $9,$7}' | sort

10. 统计http status.
cat access.log |awk '{counts[$(9)]+=1}; END {for(code in counts) print code, counts[code]}'
cat access.log |awk '{print $9}'|sort|uniq -c|sort -rn

11.蜘蛛分析
查看是哪些蜘蛛在抓取内容。
/usr/sbin/tcpdump -i eth0 -l -s 0 -w - dst port 80 | strings | grep -i user-agent | grep -i -E 'bot|crawler|slurp|spider'

网站日分析2(Squid篇）

2.按域统计流量
zcat squid_access.log.tar.gz| awk '{print $10,$7}' |awk 'BEGIN{FS="[ /]"}{trfc[$4]+=$1}END{for(domain in trfc){printf "%st%dn",domain,trfc[domain]}}'

效率更高的perl版本请到此下载:http://docs.linuxtone.org/soft/tools/tr.pl

数据库篇
1.查看数据库执行的sql
/usr/sbin/tcpdump -i eth0 -s 0 -l -w - dst port 3306 | strings | egrep -i 'SELECT|UPDATE|DELETE|INSERT|SET|COMMIT|ROLLBACK|CREATE|DROP|ALTER|CALL'

系统Debug分析篇

1.调试命令
strace -p pid

2.跟踪指定进程的PID
gdb -p pid

更多的请参考：
http://bbs.linuxtone.org/forum-14-1.html

有朋友问起，如何隐藏 HTTP header 中发送包含在 Server 信息里面的 Apache 和 PHP 版本号（譬如我们可以到 Firefox 的附加工具里面找 Live HTTP Headers;还可以用curl -I IPaddress|http://域名 ) 下面是做法： Apache: 打开 httpd.conf，在文件最后加入以下代码：

1. #Hidden I can with apache version number

2. ServerTokens ProductOnly

3. ServerSignature Off

PHP: 隐藏 PHP 版本就是隐藏类似于 “X-Powered-By: PHP/5.1.2-1+b1” 这个，开启 php.ini，加入:

1. expose_php = Off

设置了expose_php=Off后,用phpinfo查看的时候,页面上原来正常显示的图片会消失隐藏的.

相关:

acl QUERY urlpath_regex cgi-bin ? no_cache deny QUERY

这段代码会不cache 所有带 cgi-bin 和 ? 的url path.表面看来，如果url 里面不带?还是可以被缓存的。可惜实际并非如此，squid 会根据header读取httpd的声明信息，例如生成时间等信息;实际上.php的页面不返回 last-modified 信息，因此很难被cache。

通过增加 php 的last-modified header强制 squid 的cache功能:

header(“Last-Modified: ” . gmdate(“D, d M Y H:i:s”) . ” GMT”);

header要放在所有.php文件中去。换而言之，就是要

1. 在 include.php中，构造一个当前时间转换为最近那次5分钟/n分钟划分的时间函数
2. 把这个时间函数的结果返回到 header
3. 在所有页面中调用这个 include

以上方法本人已经测试通过．

分别是加last-modified前台的日志

============================

由于网站的访问量越来越大，用户播放视频，都要从web服务器拿文件，而且又是动态连接，要调用一个php-cgi进程，这样的话很浪费资源，所以要加缓存服务器。但是问题来了，squid 默认是不缓存动态页面的，google 了半天，发现很多人的文章没有一个说到正点上的。最后自己不停的做测试，看squid.conf.documented，把问题解决了，所以就记录下来，以便以后大家遇到同样的问题。好解决。 列子：

http://www.nginxs.com/nginx/Grec.php?id=eric&b.php?=aaa

首选用 curl 抓 head头。

nginx
<pre wp-pre-tag-1="">

gt; curl -I http://www.nginxs.com/nginx/Grec.php HTTP/1.1 200 OK Server: nginx Date: Fri, 27 Aug 2010 06:49:43 GMT Content-Type: text/html; charset=utf-8 Connection: keep-alive Vary: Accept-Encoding X-Powered-By: PHP/5.2.13 Set-Cookie: PHPSESSID=2d4523a7c6a5a54dbb20f64f3bc04be3; path=/ Expires: Thu, 19 Nov 1981 08:52:00 GMT Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0 Pragma: no-cache

默认系统环境安装教程: http://blog.haohtml.com/archives/6051

php-fpm.conf:

想自己搞一个自动修改php-fpm.conf的shell脚本.刚安装的php,默认的是nobody用户运行的,这里修改为了www,并去掉了两边的注释符

sed ‘63,66s/|–>//g’ php-fpm.conf | sed ‘s/nobody/www/g’

上面将”“和”–>“两个字符串全部删除了.多个之间用”|“符号隔开

s前面的63,66为处理的行号,如果为一行的话,直接指定一个行号就可以了.这里使用了从63行到66行中间的数据,包括这两行.

nginx.conf

下面的命令是用来配置nginx.conf文件的

sed '2s/nobody/www/' /usr/local/nginx/conf/nginx.conf.default | sed '2s/#//g'| sed '64,71s/#//g' | sed '64,71s/scripts/usr/local/nginx/html/' > /usr/local/nginx/conf/nginx.conf

这里先将第二行的nobdy用www替换掉,再将前面的#删除,再将支持php配置的第64行和71前面的#删除,并将默认的php脚本路径改为/usr/local/nginx/html位置.

对于sek的使用方法见: http://blog.haohtml.com/tag/sed

这里没有使用awk命令,对于此命令的介绍见: http://blog.haohtml.com/tag/awk

实现原理,利用 cron来定时执行一个shell脚本,如果发现服务器不通或者上次故障后恢复正常,则发送邮件.否则不用发送邮件. 目前此Shell在FreeBSD和Linux下均可以正常运行.

ping.sh

#!/bin/bash
if [ $# -ne 1 ]
then
echo 'must have one param,must be ip address format!'
exit
fi

ip=$1
tmpfile=/tmp/$ip.txt
if [ -f $tmpfile ]; then
lastmsg=`cat $tmpfile`
else
lastmsg='YES'
fi

ret=`ping -c 3 $ip | grep ttl  | wc -l`
if [ $ret -lt 2 ]; then
echo 'NO' > $tmpfile
/usr/local/bin/php /data/haohtml.com/www/ping.php $ip  > /dev/null 2>&1
elif [ $lastmsg = 'NO' ]; then
echo 'YES' > $tmpfile
/usr/local/bin/php /data/haohtml.com/www/ping.php $ip 1 > /dev/null 2>&1
fi

ping.php

今天在服务器上修改时间的进修，发现用date -s 21:45:12不起作用，提示＂

Cannot access the Hardware Clock via any known method.
Use the --debug option to see the details of our search for an access method.

＂错误，后来google了一下，有人说在64位平台的原因，说是一个bug的．

在执行clock -w 和hwclock命令的时候，总提示错误信息．这里介绍一种方法：

#tzselect

然后选择”5) Asia”,回车，选择国家＂ 9) China＂回车，在选择的地区里选择＂1) east China – Beijing, Guangdong, Shanghai, etc.＂,最后选择＂1) Yes＂对上面的设置进行确认即可．会提示以下信息，这时时间已经正常了．为了长久有效，可以添加到.profile文件里，我是添加到/etc/profile文件里了，不知道对否的．反正时间是过来了．

You can make this change permanent for yourself by appending the line
        TZ='Asia/Shanghai'; export TZ
to the file '.profile' in your home directory; then log out and log in again.

Here is that TZ value again, this time on standard output so that you
can use the /usr/bin/tzselect command in shell scripts:
Asia/Shanghai

这个脚本特别的简单的,一次只能检测一个ip地址,可以放在crontab里定时检测.可以用来检测服务器状态情况.特别的实用的,如果有多个ip地址的话,可能必定一下,循环一下就可以了.

只有当不通或者宕机后恢复正常的时候才发送指定消息.

#!/bin/bash
if [ $# -ne 1 ]
then
echo 'must have one params ip address format!'
exit
fi

ip=$1
tmpfile=$ip.txt
if [ -f $tmpfile ]; then
lastmsg=`cat $tmpfile`
else
lastmsg='YES'
fi

ret=`ping -c 3 $ip | grep ttl  | wc -l`
if [ $ret -lt 2 ]; then
echo 'NO' > $tmpfile
echo 'send waring message!'
//这里可以执行php脚本,用来 发送邮件信息
elif [ $lastmsg = 'NO' ]; then
echo 'YES' > $tmpfile
echo 'send ok message!'
//发送邮件信息
fi

下面的shell 可不可以详细解释一下呀？ (ls you no 2>&1;ls yes 2>&1) 2>&1|egrep * >file (ls you no 2>&1;ls yes 2>&1)|egrep * >file (ls you no;ls yes) 2>&1|egrep * >file

2>&1又是什么意思呀？？ 在 shell中 >代表输出重定向

0表示标准输入
1表示标准输出(默认值)
2表示标准错误输出
2>&1意思是:把 标准错误输出 重定向到 标准输出.

ls xxx >out.txt 2>&1, 实际上可换成 ls xxx 1>out.txt 2>&1；重定向符号>默认是1,错误和输出都传到out.txt了。

|:是管道,例子: cmd1 | cmd2 意思是:命令cmd1的标准输出座位cmd2的标准输入.

详细解释第三个命令行,(ls you no;ls yes) 2>&1|egrep * >file: 2>&1意思是:把 标准错误输出 重定向到 标准输出. |意思是:管道; egrep * :搜索所有的字符串.

file: 把标准输出导入文件file(如果file存在则清空file,不存在则创建.);

linux中tail命令—用于查看文件内容

最基本的是cat、more和less。 1. 如果你只想看文件的前5行，可以使用head命令，如：

head -5 /etc/passwd

2. 如果你想查看文件的后10行，可以使用tail命令，如：

tail -2 /etc/passwd 或 tail -n 2 /etc/passwd tail -f /var/log/messages

参数-f使tail不停地去读最新的内容，这样有实时监视的效果 用Ctrl＋c来终止！ 3. 查看文件中间一段，你可以使用sed命令，如：

sed -n ‘5,10p’ /etc/passwd

这样你就可以只查看文件的第5行到第10行。

tail语法格式： tail [ -f ] [ -c Number | -n Number | -m Number | -b Number | -k Number ] [ File ] 或者 tail [ -r ] [ -n Number ] [ File ] 使用说明： tail 命令从指定点开始将 File 参数指定的文件写到标准输出。如果没有指定文件，则会使用标准输入。 Number 变量

我们都知道，在 Windows 上面，我们要么让一个程序作为服务在后台一直运行，要么停止这个服务。而不能让程序在前台后台之间切换。而 Linux 提供了 fg 和 bg 命令，让我们轻松调度正在运行的任务。

假设你发现前台运行的一个程序需要很长的时间，但是需要干其他的事情，你就可以用 Ctrl-Z ，挂起这个程序，然后可以看到系统提示（方括号中的是作业号）：

[1]+ Stopped /root/bin/rsync.sh

然后我们可以把程序调度到后台执行：（bg 后面的数字为作业号）

#bg 1 [1]+ /root/bin/rsync.sh &

用 jobs 命令查看正在运行的任务：

#jobs [1]+ Running /root/bin/rsync.sh &

如果想把它调回到前台运行，可以用

#fg 1 /root/bin/rsync.sh

这样，你在控制台上就只能等待这个任务完成了。

fg、bg、jobs、&、ctrl + z都是跟系统任务有关的，虽然现在基本上不怎么需要用到这些命令，但学会了也是很实用的.

一。& 最经常被用到 这个用在一个命令的最后，可以把这个命令放到后台执行 二。ctrl + z 可以将一个正在前台执行的命令放到后台，并且暂停 三。jobs 查看当前有多少在后台运行的命令 四。fg 将后台中的命令调至前台继续运行 如果后台中有多个命令，可以用 fg %jobnumber将选中的命令调出，%jobnumber是通过jobs命令查到的后台正在执行的命令的序号(不是pid) 五。bg 将一个在后台暂停的命令，变成继续执行 如果后台中有多个命令，可以用bg %jobnumber将选中的命令调出，%jobnumber是通过jobs命令查到的后台正在执行的命令的序号(不是pid)

Unix/Linux下一般比如想让某个程序在后台运行，很多都是使用 & 在程序结尾来让程序自动运行。比如我们要运行mysql在后台：

/usr/local/mysql/bin/mysqld_safe –user=mysql &

但是加入我们很多程序并不象mysqld一样做成守护进程，可能我们的程序只是普通程序而已，一般这种程序使用 &

结尾，但是如果终端关闭，那么程序也会被关闭。但是为了能够后台运行，那么我们就可以使用nohup这个命令，比如我们有个test.php需要在后台运行，并且希望在后台能够定期运行，那么就使用nohup：

nohup /root/test.php &

提示：

[~]$ appending output to nohup.out

嗯，证明运行成功，同时把程序运行的输出信息放到当前目录的 nohup.out 文件中去。

nohup 命令

用途：LINUX命令用法，不挂断地运行命令。

语法：nohup Command [ Arg … ] [　& ]

描述：nohup 命令运行由 Command 参数和任何相关的 Arg 参数指定的命令，忽略所有挂断（SIGHUP）信号。在注销后使用 nohup 命令运行后台中的程序。要运行后台中的 nohup 命令，添加 & （ 表示“and”的符号）到命令的尾部。

如果不将 nohup 命令的输出重定向，输出将附加到当前目录的 nohup.out 文件中。如果当前目录的 nohup.out 文件不可写，输出重定向到 $HOME/nohup.out 文件中。如果没有文件能创建或打开以用于追加，那么 Command 参数指定的命令不可调用。如果标准错误是一个终端，那么把指定的命令写给标准错误的所有输出作为标准输出重定向到相同的 文件描述符。

退出状态：该命令返回下列出口值：

126 可以查找但不能调用 Command 参数指定的命令。

127 nohup 命令发生错误或不能查找由 Command 参数指定的命令。

否则，nohup 命令的退出状态是 Command 参数指定命令的退出状态。

在向大家详细介绍CentOS lighttpd安装之前，首先让大家了解下CentOS系统作用，然后全面介绍CentOS lighttpd安装，CentOS社区不断与其他的同类社区合并，使CentOS Linux逐渐成为使用最广泛的RHEL兼容版本。CentOS Linux的稳定性不比RHEL差，唯一不足的就是缺乏技术支持，因为它是由社区发布的免费版。希望对大家有用。

CentOS lighttpd安装

wget http://www.lighttpd.net/download/lighttpd-1.4.19.tar.gz tar zxvf lighttpd* cd lightt* ./configure –prefix=/usr/local/lighttpd –with-pcre

CentOS lighttpd安装这时候说缺少pcre-devel

yum install pcre-devel ./configure –with-pcre make make install

在ubuntu下用apt-get install lighttpd来安装,方便了很多,CentOS lighttpd安装就要自己配置了.

cp doc/sysconfig.lighttpd /etc/sysconfig/lighttpd mkdir /etc/lighttpd

然后copy默认的配置文件

cp doc/lighttpd.conf /etc/lighttpd/lighttpd.conf cp doc/rc.lighttpd.redhat /etc/init.d/lighttpd

然后用whereis lighttpd找到位置在/usr/local/sbin/lighttpd 在用vim /etc/init.d/lighttpd,找到prog=”lighttpd”节,注释掉默认的,添加：

lighttpd=”/usr/local/sbin/lighttpd”

在/var/log/下mkdir lighttpd,再创建两个文件access.log和error.log

默认的网站目录配置是：

server.document-root = “/srv/www/htdocs/”

以上介绍CentOS lighttpd安装。

lighttpd.conf:

今天在安装lnmp的时候,发现在安装imagick-3.0.1.tgz时,执行

./configure --with-php-config=/usr/local/php/bin/php-config

的时候,提示以下错误:

checking for PHP includes… -I/usr/include/php -I/usr/include/php/main -I/usr/include/php/TSRM -I/usr/include/php/Zend -I/usr/include/php/ext
checking for PHP extension directory… /usr/lib64/php/modules
checking for PHP installed headers prefix… /usr/include/php
checking for re2c… no
configure: WARNING: You will need re2c 0.9.11 or later if you want to regenerate PHP parsers.
checking for gawk… gawk
checking whether to enable the magickwand extension… no
configure: error: not found. Please provide a path to MagickWand-config or Wand-config program.

解决办法:

[root@localhost ~]$ uname -r 2.6.9-22.ELsmp

[root@localhost ~]$ /usr/local/mysql/bin/mysqladmin version -uroot -p Enter password: /usr/local/mysql/bin/mysqladmin  Ver 8.42 Distrib 5.1.22-rc, for redhat-linux-gnu on x86_64 Copyright (C) 2000-2006 MySQL AB This software comes with ABSOLUTELY NO WARRANTY. This is free software, and you are welcome to modify and redistribute it under the GPL license

Server version          5.1.22-rc-log Protocol version        10 Connection              Localhost via UNIX socket UNIX socket             /tmp/mysql.sock Uptime:                 74 days 7 hours 2 min 31 sec