11月19日任務

11.25 配置防盜鏈

11.26 訪問控制Directory

11.27 訪問控制FilesMatch

配置防盜鏈

為什麼要配置防盜鏈

第三方的站點可以通過引用的方式來獲取本伺服器上的資源如圖片等，但是相應的網路資源的使用這對於本機而言往往是多餘的、浪費的。因此我們需要限制這方面的資源訪問，通過設定防盜鏈的方式。

什麼是referer

referer是http資料包的header的一部分，當瀏覽器其向伺服器傳送請求時，將帶上referer，以此來告訴瀏覽器該請求時從什麼網頁連結過來的，瀏覽器處理該連結並顯示。

設定了防盜鏈後，一些站點將無法通過引用的方式來獲取伺服器的資源，只能通過直接訪問本機來獲取，這樣就將有效的流量訪問限定到了本機，不被不法站點所利用。

如何配置

編輯虛擬主機配置檔案

[[email protected] ~]# vim /usr/local/apache2.4/conf/extra/httpd-vhosts.conf 插入下面的內容：
    <Directory /data/wwwroot/111.com>
        # 將111.com設為白名單，對應規則Allow
        SetEnvIfNoCase Referer "http://111.com" local_ref  
        
        # 將aaa.com設為白名單，對應規則Allow
        SetEnvIfNoCase Referer "http://aaa.com" local_ref  
        
        # 將空referer設為白名單，對應規則Allow；空referer即直接訪問的地址
        SetEnvIfNoCase Referer "^$" local_ref  
        
        # 對txt、doc等格式的檔案執行訪問控制
        <FilesMatch "\.(txt|doc|mp3|zip|rar|jpg|gif)">
            # 白名單地址allow，其他deny
            # 執行順序依次為allow、deny，反過來將導致都被禁止訪問
            Order Allow,Deny 
            
            # 白名單為local_ref對應的地址
            Allow from env=local_ref 
        </FilesMatch>
    </Directory>
 

效果驗證

使用windows瀏覽器測試時，前提需要設定hosts檔案！

我主機內的設定為

192.168.65.133 111.com

• 訪問空referer（直接訪問） 註釋掉空referer行

不註釋空referer行

• 第三方站點訪問(引用)

// 將第三方的域名加入白名單,我這裡使用的是猿課論壇
SetEnvIfNoCase Referer "http://ask.apelearn.com" local_ref
// 空referer行註釋掉
#SetEnvIfNoCase Referer "^$" local_ref

儲存後重啟訪問訪問
 

效果如下：

成功獲取到了圖片

• 使用curl命令模擬referer：-e引數

[[email protected] 111.com]# curl -e "http://111.com/test.jpg" -x 127.0.0.1:80 111.com/test.jpg -I
HTTP/1.1 200 OK
Date: ..., ... 14:14:43 GMT
Server: Apache/2.4.28 (Unix) PHP/5.6.30
Last-Modified: ..., ... 13:20:20 GMT
ETag: "18652-5612a0725ed00"
Accept-Ranges: bytes
Content-Length: 99922
Content-Type: image/jpeg

訪問控制Directory

限制使用者訪問部分目錄，允許特定ip訪問

虛擬主機配置檔案

[[email protected] ~]# vim /usr/local/apache2.4/conf/extra/httpd-vhosts.conf
新增如下內容：
    <Directory /data/wwwroot/111.com/admin/>
        Order deny,allow  # 決定規則的先後順序
        Deny from all
        Allow from 127.0.0.1  # 只允許本地訪問
    </Directory>

效果驗證

• allow的ip訪問，200 ok

[[email protected] ~]# curl -x 127.0.0.1:80 http://111.com/admin/index.php -I
HTTP/1.1 200 OK
Date: ..., ... 12:58:07 GMT
Server: Apache/2.4.28 (Unix) PHP/5.6.30
X-Powered-By: PHP/5.6.30
Content-Type: text/html; charset=UTF-8

• 通過其他ip訪問，403 forbidden，限制訪問

[[email protected] ~]# curl -x 192.168.65.133:80 http://111.com/admin/index.php -I
HTTP/1.1 403 Forbidden
Date: ..., ... 12:59:11 GMT
Server: Apache/2.4.28 (Unix) PHP/5.6.30
Content-Type: text/html; charset=iso-8859-1

訪問控制--FilesMatch

除了能夠限制訪問目錄，還可以限制某些檔案的訪問

修改虛擬主機配置檔案

[[email protected] ~]# vim /usr/local/apache2.4/conf/extra/httpd-vhosts.conf
修改目錄訪問控制的語段：
<Directory /data/wwwroot/111.com>
    # 對檔案admin.php進行限制
    <FilesMatch  "admin.php(.*)"> 
        Order deny,allow
        Deny from all
        Allow from 127.0.0.1
    </FilesMatch>
</Directory>

效果驗證

• 通過允許的ip訪問，由於檔案不存在，返回404狀態碼

[[email protected] ~]# curl -x 127.0.0.1:80 http://111.com/admin/admin.php?123 -I
HTTP/1.1 404 Not Found
Date: ..., ... 13:11:42 GMT
Server: Apache/2.4.28 (Unix) PHP/5.6.30
Content-Type: text/html; charset=iso-8859-1

• 通過其他ip訪問，返回403 forbidden，限制訪問

[[email protected] ~]# curl -x 192.168.65.133:80 http://111.com/admin/admin.php?123 -I
HTTP/1.1 403 Forbidden
Date: ..., ... 13:12:05 GMT
Server: Apache/2.4.28 (Unix) PHP/5.6.30
Content-Type: text/html; charset=iso-8859-1