编写nginx https访问配置文件

nginx配置文件路径
```
/etc/nginx/conf.d
```
进入配置文件路径
```
cd /etc/nginx/conf.d
```

编辑配置文件
```
vim  example.conf
```
nginx 配置域名证书，https访问。
参考模板：

```
# 阻止IP直接访问
server {
    listen 80 default_server;
    listen 443 ssl default_server;
    server_name _;

    # SSL证书
    ssl_certificate /etc/nginx/ssl/test.pem;
    ssl_certificate_key /etc/nginx/ssl/test.key;

    # SSL安全配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305;
    ssl_prefer_server_ciphers off;

    # 安全头
    add_header X-Frame-Options DENY;
    add_header X-Content-Type-Options nosniff;

    # 记录IP直接访问
    access_log /var/log/nginx/ip_direct_access.log;

    return 444;
}

# HTTP重定向到HTTPS
server {
    listen 80;
    server_name test.cn www.test.cn;
    
    # 安全头
    add_header X-Frame-Options DENY;
    add_header X-Content-Type-Options nosniff;
    
    return 301 https://$server_name$request_uri;
}

# HTTPS服务器 - VanBlog 主站
server {
    listen 443 ssl http2;
    server_name test.cn test.cn;
    
    # SSL证书配置
    ssl_certificate /etc/nginx/ssl/test.pem;
    ssl_certificate_key /etc/nginx/ssl/test.key;
    
    # SSL安全配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    
    # 安全头
    add_header X-Frame-Options DENY;
    add_header X-Content-Type-Options nosniff;
    add_header X-XSS-Protection "1; mode=block";
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin";
    
    # VanBlog 主站
    location / {
        proxy_pass http://172.25.0.3:80;
        
        # 代理头设置
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Server $host;

        # 超时设置
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
        
        # 缓冲区优化
        proxy_buffering on;
        proxy_buffer_size 4k;
        proxy_buffers 8 4k;
    }

    # 静态资源缓存优化
    location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff|woff2|ttf|eot)$ {
        proxy_pass http://172.25.0.3:80;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        
        # 缓存设置
        expires 1y;
        add_header Cache-Control "public, immutable";
        add_header Vary "Accept-Encoding";
    }

    # 禁止访问敏感文件
    location ~ /\. {
        deny all;
        access_log off;
        log_not_found off;
    }

    # 健康检查端点
    location /nginx_status {
        stub_status on;
        access_log off;
        allow 127.0.0.1;
        deny all;
    }
}
```

nginx标准配置文件

Linux sudo 漏洞修复与回退方案 (CNNVD-202506-3714 & CNNVD-202506-3715)
# 一、准备工作

## 1、备份关键数据

```
sudo cp /etc/sudoers /etc/sudoers.bak
sudo cp -r /usr/bin/sudo /usr/bin/sudo.bak
```



## 2、检查当前版本

```
sudo --version | head -1
```

## 3、记录当前版本适配

```
sudo -V > sudo_config_backup.txt
```

# 二、正式修复步骤

#### **方案1：通过YUM升级（推荐）**

```
# 添加EPEL仓库（如需）
sudo yum install -y epel-release

# 升级sudo
sudo yum update -y sudo

# 验证版本
sudo --version | head -1
```

#### **方案2：源码编译安装**

```
# 安装依赖
sudo yum install -y gcc zlib-devel openssl-devel pam-devel make wget

# 下载源码
wget https://www.sudo.ws/dist/sudo-1.9.18.tar.gz
tar xvf sudo-1.9.18.tar.gz
cd sudo-1.9.18

# 编译安装
./configure --prefix=/usr --libexecdir=/usr/lib --with-pam --with-sssd
make
sudo make install

# 验证
sudo --version | head -1
```

# 三、回退方案

#### **情况1：升级后出现兼容性问题**

```
# 恢复备份的sudo二进制文件
sudo cp /usr/bin/sudo.bak /usr/bin/sudo

# 恢复sudoers配置
sudo cp /etc/sudoers.bak /etc/sudoers

# 验证回退
sudo --version | head -1
```

#### **情况2：编译安装失败**

```
# 卸载编译安装的版本
cd sudo-1.9.18
sudo make uninstall

# 重新安装旧版
sudo yum reinstall -y sudo
```

# **四、临时缓解措施（若无法立即升级）**

```
# 限制漏洞利用
echo 'Defaults !use_homedir' | sudo tee -a /etc/sudoers
echo 'Defaults !sudoedit' | sudo tee -a /etc/sudoers

# 使配置生效
sudo visudo -c
```

# 五、**风险控制**

1. ## **升级风险**

   - 可能影响依赖sudo的服务
   - 建议在维护窗口操作
   - 准备应急回退方案

2. ## **回退风险**

   - 回退后会重新暴露漏洞
   - 需尽快安排替代方案

3. ## **临时措施风险**

   - 可能影响正常业务功能
   - 需测试关键命令是否可用


# 六、**验证与监控**


## 1、**功能测试
```
sudo -l
sudo -h
```

```mermaid
graph TD
    A[开始] --> B{检查当前版本}
    B -->|安全版本| C[无需操作]
    B -->|漏洞版本| D[选择修复方案]
    D --> E[YUM升级]
    D --> F[源码编译]
    E --> G[验证]
    F --> G
    G -->|成功| H[完成]
    G -->|失败| I[执行回退]
    I --> J[恢复备份]
    J --> K[采用临时措施]
    K --> L[安排再次修复]
```

sudo提权漏洞修复

# 1、查找文件已删除，但是仍被进程占用的进程和文件大小

定位持有这些文件的进程
```
# 查看已删除文件的大小和偏移量
sudo lsof +L1 | grep deleted | awk '{print $2,$7,$9}' | head -20

# 提取进程ID（第二列）和文件大小
sudo lsof +L1 | awk '($7 > 104857600) {print $2, $7/1024/1024" MB"}' | sort -k2 -nr



# 示例输出：
# 1234 290.15 MB
# 5678 290.15 MB
```
# 2、 **查看进程详细信息**
```
# 替换<PID>为实际进程ID
ps -p <PID> -o pid,user,command

# 示例（如果PID是1234）：
ps -p 1234 -o pid,user,command
```
**输出示例**：
```
PID   USER     COMMAND
1234  flink    /usr/lib/jvm/java-8-openjdk/bin/java ...TaskManager
```
# 3、根据进程查找相关服务，然后进程服务重启，释放临时文件

服务器隐藏文件占用磁盘

# 一、前言
服务器有的时候会被人搞崩，cpu莫名飙升，为了查看哪些IP访问过于频繁，就可以使用netstat、awk等指令进行统计查看。
# 二、指令
对一些常用的指令总结如下：



## 1、常用指令
```
- 对连接的IP按连接数量进行排序：

netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

- 查看TCP连接状态：
快速统计并排序TCP连接状态

netstat -nat |awk '{print $6}'|sort|uniq -c|sort -rn

简洁显示TCP状态分布
netstat -n | awk '/^tcp/ {++S[$NF]};END {for(a in S) print a, S[a]}'

清晰格式化的状态统计报告
netstat -n | awk '/^tcp/ {++state[$NF]}; END {for(key in state) print key,"\t",state[key]}'

netstat -n | awk '/^tcp/ {++arr[$NF]};END {for(k in arr) print k,"\t",arr[k]}'

管道流式处理的状态统计
netstat -n |awk '/^tcp/ {print $NF}'|sort|uniq -c|sort -rn

过滤纯净的TCP状态统计
netstat -ant | awk '{print $NF}' | grep -v '[a-z]' | sort | uniq -c

- 查看80端口连接数最多的20个IP：

netstat -anlp|grep 80|grep tcp|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -n20

- 查找较多time_wait连接：

netstat -n|grep TIME_WAIT|awk '{print $5}'|sort|uniq -c|sort -rn|head -n20

- 查找较多的SYN连接：

netstat -an | grep SYN | awk '{print $5}' | awk -F: '{print $1}' | sort | uniq -c | sort -nr | more

- 查看当前并发访问数：

netstat -an | grep ESTABLISHED | wc -l

- 查看所有连接请求：

netstat -tn 2>/dev/null

- 但是只要established的，则grep "ESTABLISHED"：

netstat -tn | grep ESTABLISHED 2>/dev/null

- 查看访问某一ip的所有外部连接IP(数量从多到少)：

netstat -nt | grep 121.41.30.149:80 | awk '{print $5}' | awk -F: '{print ($1>$4?$1:$4)}' | sort | uniq -c | sort -nr | head

- 根据端口查找进程：

netstat -ntlp | grep 80 | awk '{print $7}' | cut -d/ -f1
```

## 2、根据nginx的访问日志判断

在网站部署的目录下，会有个wwwlogs文件夹用于存放一些日志文件。我们可以根据其中的access.log文件查看一些访问记录。
```
- 查看访问记录，从1000行开始到3000：

cat access.log |head -n 3000|tail -n 1000

- 查看访问记录，从1000行开始，显示200行：

cat access.log |tail -n +1000 |head -n 200

- 根据访问IP统计UV：

awk '{print $1}' access.log|sort | uniq -c |wc -l

- 统计访问URL统计PV：

awk '{print $7}' access.log|wc -l

- 查询访问最频繁的URL：

awk '{print $7}' access.log|sort | uniq -c |sort -n -k 1 -r|more

- 查询访问最频繁的IP：

awk '{print $1}' access.log|sort | uniq -c |sort -n -k 1 -r|more

- 通过日志查看含有send的url,统计ip地址的总连接数：

cat access.log | grep "send" | awk '{print $1}' | sort | uniq -c | sort -nr

- 通过日志查看当天指定ip访问次数过的url和访问次数：

cat access.log | grep "222.132.90.94" | awk '{print $7}' | sort | uniq -c | sort -nr
```

# 三、总结

保佑服务器少出事。

查看访问服务器IP

**详细步骤：将 `vda` 剩余空间全部分配给 `vda2`**
# **1. 确认当前磁盘和分区情况**

```bash
lsblk
sudo fdisk -l /dev/vda
```



**输出示例**：

```
Disk /dev/vda: 50 GiB, 53687091200 bytes, 104857600 sectors
Device     Boot   Start      End  Sectors  Size Id Type
/dev/vda1  *       2048  1050623  1048576  512M 83 Linux  # 已有分区（如 /boot）
# 剩余空间未分配
```

# **2. 使用 `fdisk` 创建 `vda2` 并占用所有剩余空间**

```bash
sudo fdisk /dev/vda
```

**交互操作步骤**：

1. 输入 `n`（新建分区）。  
2. 输入 `p`（主分区）。  
3. 输入 `2`（分区号）。  
4. **起始扇区**：直接回车（默认接在 `vda1` 后）。  
5. **结束扇区**：直接回车（默认用完所有剩余空间）。  
6. 输入 `t`（修改分区类型），输入 `2` 选择 `vda2`，输入 `83`（Linux 文件系统类型）。  
7. 输入 `w` 保存并退出。  

**关键截图**：

```
Command (m for help): n
Partition type (p/e): p
Partition number (2-4): 2
First sector (1050624-104857599, default 1050624): [回车]
Last sector: [回车]
Command (m for help): t
Partition number (1,2): 2
Hex code (type L to list): 83
Command (m for help): w
```

# **3. 刷新分区表**

```bash
sudo partprobe /dev/vda  # 让内核识别新分区
lsblk  # 检查 vda2 是否生成
```

**预期输出**：

```
NAME   MAJ:MIN RM SIZE RO TYPE MOUNTPOINT
vda    253:0    0  50G  0 disk
├─vda1 253:1    0 512M 0 part /boot
└─vda2 253:2    0 49.5G 0 part  # 新分区
```

# **4. 格式化 `vda2` 为 ext4 文件系统**

```bash
sudo mkfs.ext4 /dev/vda2
```

**输出示例**：

```
mke2fs 1.45.5 (07-Jan-2020)
Creating filesystem with 12976128 4k blocks...
Filesystem UUID: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
```

# **5. 挂载 `vda2` 到目录（如 `/mnt/vda2`）**

```bash
sudo mkdir /mnt/vda2
sudo mount /dev/vda2 /mnt/vda2
df -h /mnt/vda2  # 验证挂载
```

**预期输出**：

```
Filesystem      Size  Used Avail Use% Mounted on
/dev/vda2        49G   53M   47G   1% /mnt/vda2
```

# **6. 永久挂载（编辑 `/etc/fstab`）**

```bash
echo '/dev/vda2 /mnt/vda2 ext4 defaults 0 0' | sudo tee -a /etc/fstab
sudo mount -a  # 测试配置
```

---

### **⚠️ 注意事项**

1. **数据备份**：操作前备份重要数据，误操作可能导致数据丢失。  
2. **根分区扩展**：  
   - 如果目标是扩展 `/`（而非新建独立分区），需在 **救援模式** 下操作。  
3. **LVM 更灵活**：  
   - 生产环境建议使用 LVM（逻辑卷管理），便于后期调整。  

---

### **验证最终结果**

```bash
lsblk
df -Th /mnt/vda2
```

**预期结果**：

```
vda2 分区占用全部剩余空间，并正常挂载。
```

如有问题，请提供 `fdisk -l /dev/vda` 和 `lsblk` 的当前输出！