来源: 互联网  发布时间: 2013-12-24

Apache服务器配置全攻略（六） 
通常连接时，服务器仅仅可以得到客户机的IP地址，如果要想获得客户机的主机名，以进行日志记录和提供给 CGI程序使用，就需要使用这个HostnameLookups 选项，将其设置为On打开DNS反查功能。但是这将使服务器对每次客户请求都进行DNS查询，增加了系统开销，使得反应变慢，因此缺省设置为使用Off关闭此选项。关闭选项之后，服务器就不会获得客户机的主机名，而只能使用IP地址来记录客户。 
ErrorLog /var/log/httpd-error.log 
LogLevel warn 
LogFormat "%h %l %u %t "%r" %>s %b "%{Referer}i" "%{User-Agent} "" combined 
LogFormat "%h %l %u %t "%r" %>s %b" common 
LogFormat "%{Referer}i -> %U" referer 
LogFormat "%{User-agent}i" agent 
#CustomLog /var/log/httpd-access.log common 
#CustomLog /var/log/httpd-referer.log referer 
#CustomLog /var/log/httpd-agent.log agent 
CustomLog /var/log/httpd-access.log combined 
这里定义了系统日志的形式，对于服务器错误记录， 由ErrorLog、 LogLevel 来定义不同的错误日志文件及其记录内容。
对于系统的访问日志，缺省使用CustomLog参数定义日志的位置，缺省使用 combined 参数指定将所有的访问日志放在一个文件中，然而也可以将不同种类的访问日志放在不同的日志记录文件中，这是通过在 CustomLog中指定不同的记录类型来完成的。common表示普通的对单页面请求访问记录，referer表示每个页面的引用记录，可以看出一个页面中包含的请求数，agent表示对客户机的类型记录，显然可以将现有的combined 定义的设置行注释掉，并使用common、referer和agent作为CustomLog的参数，来为不同种类的日志分别指定日志记录文件。 
显然，LogFormat是用于定义不同类型的日志进行记录时使用的格式， 这里使用了以%开头的宏定义，以记录不同的内容。 
如果这些参数指定的文件使用的是相对路径，那么就是相对于ServerRoot的路径。 
ServerSignature On 
一些情况下，例如当客户请求的网页并不存在时，服务器将产生错误文档，缺省情况下由于打开了 ServerSignature选项，错误文档的最后一行将包含服务器的名字、Apache的版本等信息。有的管理员更倾向于不对外显示这些信息，就可以将这个参数设置为Off，或者设置为Email，最后一行将替换为对 ServerAdmin 的Email提示。 
Alias /icons/ "/www/icons/" 
Options Indexes MultiViews 
AllowOverride None 
Order allow,deny 
Allow from all 
Alias参数用于将URL与服务器文件系统中的真实位置进行直接映射，一般的文档将在DocumentRoot 中进行查询，然而使用Alias定义的路径将直接映射到相应目录下，而不再到DocumentRoot 下面进行查询。因此Alias可以用来映射一些公用文件的路径，例如保存了各种常用图标的icons路径。这样使得除了使用符号连接之外，文档根目录（DocumentRoot）外的目录也可以通过使用了Alias映射，提供给浏览器访问。 
定义好映射的路径之后，应该需要使用Directory语句设置访问限制。

ScriptAlias /cgi-bin/ "/www/cgi-bin/" 
AllowOverride None 
Options None 
Order allow,deny 
Allow from all 
ScriptAlias也是用于URL路径的映射，但与Alias的不同在于，ScriptAlias 是用于映射CGI程序的路径，这个路径下的文件都被定义为CGI程序，通过执行它们来获得结果，而非由服务器直接返回其内容。缺省情况下CGI程序使用cgi-bin目录作为虚拟路径。 
# Redirect old-URI new-URL 
Redirect参数是用来重写URL的，当浏览器访问服务器上的一个已经不存在的资源的时候，服务器返回给浏览器新的URL，告诉浏览器从该URL中获取资源。这主要用于原来存在于服务器上的文档，改变了位置之后，而又希望能使用老URL能访问到，以保持与以前的URL兼容。 
IndexOptions FancyIndexing 
AddIconByEncoding (CMP,/icons/compressed.gif) x-compress x-gzip 
AddIconByType (TXT,/icons/text.gif) text/* 
AddIconByType (IMG,/icons/image2.gif) image/* 
AddIconByType (SND,/icons/sound2.gif) audio/* 
AddIconByType (VID,/icons/movie.gif) video/* 
AddIcon /icons/binary.gif .bin .exe 
AddIcon /icons/binhex.gif .hqx 
AddIcon /icons/tar.gif .tar 
AddIcon /icons/world2.gif .wrl .wrl.gz .vrml .vrm .iv 
AddIcon /icons/compressed.gif .Z .z .tgz .gz .zip 
AddIcon /icons/a.gif .ps .ai .eps 
AddIcon /icons/layout.gif .html .shtml .htm .pdf 
AddIcon /icons/text.gif .txt 
AddIcon /icons/c.gif .c 
AddIcon /icons/p.gif .pl .py 
AddIcon /icons/f.gif .for 
AddIcon /icons/dvi.gif .dvi 
AddIcon /icons/uuencoded.gif .uu 
AddIcon /icons/script.gif .conf .sh .shar .csh .ksh .tcl 
AddIcon /icons/tex.gif .tex 
AddIcon /icons/bomb.gif core 
AddIcon /icons/back.gif .. 
AddIcon /icons/hand.right.gif README 
AddIcon /icons/folder.gif ^^DIRECTORY^^ 
AddIcon /icons/blank.gif ^^BLANKICON^^ 
DefaultIcon /icons/unknown.gif 
#AddDescription "GZIP compressed document" .gz 
#AddDescription "tar archive" .tar 
#AddDescription "GZIP compressed tar archive" .tgz 
ReadmeName README 
HeaderName HEADER 
IndexIgnore .??* *~ *# HEADER* README* RCS CVS *,v *,t 
当一个HTTP请求的URL为一个目录的时候，服务器返回这个目录中的索引文件。但如果一个目录中不存在缺省的索引文件，并且该服务器又许可显示目录文件列表的时候，就会显示出这个目录中的文件列表，为了使得这个文件列表能具有可理解性，而不仅仅是一个简单的列表，就需要前面的这些设置参数。

Apache服务器配置全攻略（七） 
如果使用了IndexOptions FancyIndexing选项，可以让服务器产生的目录列表中针对各种不同类型的文档引用各种图标。而哪种文件使用哪种图标，则使用下面的 AddIconByEncoding、AddIconByType以及AddIcon来定义，分别依据MIME 的编码、类型以及文件的后缀来判断使用何种图标。如果不能确定文档使用的图标，就使用 DefaultIcon定义的缺省图标。 
同样，使用AddDescription可以为不同类型的文档加入不同的描述。并且，服务器还在目录下，查询使用ReadmeName和HeaderName定义的文件（自动加上 .html后缀，如果没有发现，再使用.txt后缀进行搜索），如果发现了这些文件，就在文件列表之前首先显示这些文件的内容，以使得普通目录列表具备更大的可理解性。 
IndexIgnore让服务器在列出文件列表时忽略相应的文件， 这里使用模式配置的方式定义文件名。 
AddEncoding x-compress Z 
AddEncoding x-gzip gz 
AddEncoding用于告诉一些使用压缩的MIME类型，这样可以让浏览器进行解压缩操作。 
AddLanguage en .en 
AddLanguage fr .fr 
AddLanguage de .de 
AddLanguage da .da 
AddLanguage el .el 
AddLanguage it .it 
LanguagePriority en fr de

一个HTML文档可以同时具备多个语言的版本，如对于file1.html文档可以具备file1.html.en、file1.html.fr 等不同的版本，每个语言后缀必须使用 AddLanguage进行定义。这样服务器可以针对不同国家的客户，通过与浏览器进行协商，发送不同的语言版本。而LanguagePriority 定义不同语言的优先级，以便在浏览器没有特殊要求时，按照顺序使用不同的语言版本回应对file1.html 的请求。这个国际化的能力实际的应用并不多。 
#AddType application/x-httpd-php .phtml 
#AddType application/x-httpd-php-source .phps 
AddType参数可以为特定后缀的文件指定MIME类型，这里的设置将覆盖 mime.types中的设置。 
#AddHandler cgi-script .cgi 
AddHandler是用于指定非静态的处理类型，用于定义文档为一个非静态的文档类型，需要进行处理，再向浏览器返回处理结果。例如上面注释中的设置是将以.cgi结尾的文件设置为cgi-script类型，那么服务器将启动这个CGI程序以进行处理。如果需要在前面AliasScript定义的路径之外执行CGI程序，就需要使用这个参数进行设置，此后以.cgi结尾的文件将被当作CGI程序执行。 
在配置文件、这个目录中的.htaccess以及其上级目录的.htaccess中必须允许执行CGI程序，这需要通过Options ExecCGI参数设定。 
#AddType text/html .shtml 
#AddHandler server-parsed .shtml 
另外一种动态进行处理的类型为server-parsed，由服务器自身预先分析网页内的标记，将标记更改为正确的HTML标识。由于server-parsed需要对text/html 类型的文档进行处理，因此首先定义了对应的.shtml为text/html类型。 
然而要支持SSI，还要首先要在配置文件（或.htaccess）中使用Options Includes允许该目录下的文档可以为SSI类型，或使用Options IncludesNOExec让执行普通的SSI标志，但不执行其中引用的外部程序。 
另一种指定server-parsed类型的方式为使用XBitBack设置选项，如果将 XBitHack设置为On，服务器将检查所有text/html类型的文档（包括.html后缀的文档），如果发现文件属性具备执行位 “x"，则服务器就认为它是服务器分析文档，需要服务器进行处理。推荐使用AddHandler进行设置，而将XBitBack 设置为Off，因为使用XBitBack将对所有的HTML文档都执行额外的检查，降低了效率。
#AddHandler send-as-is asis 
#AddHandler imap-file map 
#AddHandler type-map var 
上面被注释的AddHandler用于支持Apache服务器的asis、map和var处理能力 
# Action media/type /cgi-script/location 
# Action handler-name /cgi-script/location 
因为Apache内部提供的处理功能有限，因此可以使用Action为服务器定义外部程序作为可处理的动态文档类型，这些外部程序与标准CGI程序相同，都是对输入的数据处理之后，再输出不同MIME类型的结果。例如要定义一个对特殊后缀wri都先执行wri2txt进行处理操作，再返回结果的操作，可以使用： 
Action windows-writer /bin/wri2txt 
AddHandler windows-writer wri 
更进一步，可以直接使用Action定义对某个MIME类型预先进行处理操作，这需要例子中第一种格式的Action 参数设置方式。这样设置方式就不再需要额外的AddHandler用来将处理操作与文件后缀联系起来，而是使用Action直接处理MIME类型的文件。但如果文档后缀没有正式的MIME类型，还需要先定义一个MIME类型。 
#MetaDir .web 
#MetaSuffix .meta 
Meta信息是在文档发送给客户之前，预先发送给客户浏览器一些数据，因此浏览器可以通过HEAD请求来访问这些Meta信息而不必真正通过GET来返回全部文档数据。服务器通常发送给浏览器的是一些标准的HTTP头信息，如果要想增加额外的信息，就需要使用MetaDir来定义Meta数据存放的目录， 而MetaS uffix用于指定包含Meta数据的文件后缀。 
#ErrorDocument 500 "The server made a boo boo. 
#ErrorDocument 404 /missing.html 
#ErrorDocument 404 /cgi-bin/missing_handler.pl 
#ErrorDocument 402 
http://some.other_server.com/subscription_info.html 
如果客户请求的网页不存在，或者没有访问权限等情况发生时，服务器将产生一个错误代码，同时也将回应客户浏览器一个标识错误的网页。 
ErrorDocument就用于设置当出现哪个错误时应该回应客户浏览器那些内容，ErrorDocument的第一个参数为错误的序号，第二个参数为回应的数据，可以为简单的文本，本地网页，本地CGI程序，以及远程主机上的网页。
BrowserMatch "Mozilla/2" nokeepalive 
BrowserMatch "MSIE 4.0b2;" nokeepalive downgrade-1.0 force-response-1.0 
BrowserMatch "RealPlayer 4.0" force-response-1.0 
BrowserMatch "Java/1.0" force-response-1.0 
BrowserMatch "JDK/1.0" force-response-1.0 
BrowserMatch命令为特定的客户程序，设置特殊的参数，以保证对老版本浏览器的兼容性，并支持新浏览器的新特性。 
# SetHandler server-status 
# Order deny,allow 
# Deny from all 
# Allow from .your_domain.com 
# SetHandler server-info 
# Order deny,allow 
# Deny from all 
# Allow from .your_domain.com 
# Deny from all 
# ErrorDocument 403 http://phf.apache.org/phf_abuse_log.cgi

Apache服务器配置全攻略（八） 
用于设置访问控制的设置主要是针对目录和文件进行设置的，然而也可以针对不同的URL进行访问控制的设置，这样就不必担心ScriptAlias、Alias是否将路径设置到了受控制的目录之外了。针对URL进行控制的语句为 Location语句，这样不但能对服务器上的文件、CGI提供保护，此外，它还能保护不能找到对应文件，而是由服务器本身提供的特殊功能URL。http://servername/server-status用于报告当前Apache服务器的状态，http://servername/server-info用于报告Apache 服务器的统计信息。与此相关的设置还有ExtendedStatus参数，可以让服务器输出更详细的的报告。 
#ProxyRequests On 
# Order deny,allow 
# Deny from all 
# Allow from .your_domain.com 
#ProxyVia On 
#CacheRoot "/www/proxy" 
#CacheSize 5 
#CacheGcInterval 4 
#CacheMaxExpire 24 
#CacheLastModifiedFactor 0.1 
#CacheDefaultExpire 1 
#NoCache a_domain.com another_domain.edu joes.garage_sale.com 
Apache服务器本身就具备代理的功能，然而这要求加载入mod_proxy模块。这能使用IfModule语句进行判断，如果存在mod_proxy模块，就使用ProxyRequests打开代理支持。此后的Directory用于设置对Proxy功能的访问权限设置，以及用于设置缓冲的各个参数设置。

虚拟主机 
#NameVirtualHost 12.34.56.78:80 
#NameVirtualHost 12.34.56.78 
# ServerAdmin webmaster@host.some_domain.com 
# DocumentRoot /www/docs/host.some_domain.com 
# ServerName host.some_domain.com 
# ErrorLog logs/host.some_domain.com-error_log 
# CustomLog logs/host.some_domain.com-access_log common 
缺省设置文件中的这些内容是用于设置命名基础的虚拟主机服务器时使用。 
其中NameVirtualHost 来指定虚拟主机使用的IP地址，这个IP地址将对应多个 DNS名字，如果Apache使用了Listen 参数控制了多个端口，那么就可以在这里加上端口号以进一步进行区分对不同端口的不同连接请求。此后，使用 VirtualHost 语句，使用NameVirtualHost指定的IP地址作参数，对每个名字都定义对应的虚拟主机设置。 
虚拟主机是在一台Web服务器上，可以为多个单独域名提供Web服务，并且每个域名都完全独立，包括具有完全独立的文档目录结构及设置，这样域名之间完全独立，不但使用每个域名访问到的内容完全独立，并且使用另一个域名无法访问其他域名提供的网页内容。 
虚拟主机的概念对于ISP来讲非常有用，因为虽然一个组织可以将自己的网页挂在具备其他域名的服务器上的下级往址上，但使用独立的域名和根网址更为正式，易为众人接受。传统上，必须自己设立一台服务器才能达到单独域名的目的，然而这需要维护一个单独的服务器，很多小单位缺乏足够的维护能力，更为合适的方式是租用别人维护的服务器。ISP也没有必要为一个机构提供一个单独的服务器，完全可以使用虚拟主机能力，使服务器为多个域名提供Web服务，而且不同的服务互不干扰，对外就表现为多个不同的服务器。

有两种设定虚拟主机的方式，一种是基于HTTP 1.0标准，需要一个具备多IP地址的服务器，再配置DNS 服务器，给每个IP地址以不同的域名，最后才能配置Apache的配置文件，使服务器对不同域名返回不同的Web文档。由于这需要使用额外的IP地址，对每个要提供服务的域名都要使用单独的IP地址，因此这种方式实现起来问题较多。 
可以在一个网络界面上绑定多个IP地址，Linux下需要使用ifconfig的 alias参数来进行这个配置，但此时会影响网络性能。 
HTTP 1.1标准在协议中规定了对浏览器和服务器通信时，服务器能够跟踪浏览器请求的是哪个主机名字。因此可以利用这个新特性，使用更轻松的方式设定虚拟主机。这种方式不需要额外的IP地址，但需要新版本的浏览器支持。这种方式已经成为建立虚拟主机的标准方式。 
要建立非IP基础的虚拟主机，多个域名是不可少的配置，因为每个域名就对应一个要服务的虚拟主机。因此需要更改DNS服务器的配置，为服务器增加多个C NAME选项，如： 
linux IN A 192.168.1.64 
vhost1 IN CNAME linux 
vhost2 IN CNAME linux 
基本的设置选项都是为了linux主机设定的，如果要为vhost1和vhost2设定虚拟主机，就要使用VirtualHost语句定义不同的选项，在语句中可以使用配置文件前面中的大部分选项，而可以重新定义几乎所有的针对服务器的设置。 
NameVirtualHost 192.168.1.64 
DocumentRoot /www/data 
ServerName linux.example.org.cn 
DocumentRoot /vhost1 
ServerName vhost1.example.org.cn 
DocumentRoot /vhost2 
ServerName vhost2.example.org.cn 
这里需要注意的是，VirtualHost的参数地址一定要和NameVirtualHost定义的地址相一致，必须保证所有的值严格一致，Apache服务器才承认这些定义是为这个IP地址定义的虚拟主机。 
此外，定义过NameVirtualHost之后，那么对这个IP地址的访问都被区分不同的虚拟主机进行处理，而对其他IP地址的访问，例如127.0.0.1，才应用前面定义的缺省选项。

    

    来源: 互联网  发布时间: 2013-12-24

look: 本文写给想在win2k平台上架设一个安全web站台的朋友们。
所需要的程序：

apache
http://www.apache.org/dist/httpd/binaries/win32/
我们选用apache_1.3.28-win32-x86-no_src.msi，或者apache_2.0.47-win32-x86-no_ssl.msi
都可以，勿使用低版本的程序，它们有缺陷，很容易遭到internet上的攻击

php
http://cn2.php.net/get/php-4.3.3-Win32.zip/from/a/mirror
php-4.3.3

mysql
http://www.mysql.com/get/Downloa ... 5-win.zip/from/pick
mysql-4.0.15
注:低于这个版本的mysql,有缺陷,勿使用

ZendOptimizer-2[1].1.0a-Windows-i386.exe
php的优化器，支持加密php脚本

MySQL-Front
一个运行于ms平台的gui的mysql的管理器，非常好用

phpMyAdmin-2.5.0-php.zip
基于php脚本的mysql管理器

phpencode.exe
php加密编译器


install~
1.安装apache
由于安装很简单，pass~!,只是要注意的是，请勿安装到系统分区上
因为这样，无论从备份,维护，灾难性恢复上，都是有优势的.
假设安装到了d:\\
2.安装php
具体安装过程请参考php目录里的install.txt
需要注意的是，请勿使用cgi方式
以下为引用资料
------------------------------------------------------------------
Title 17/2/2002
PHP for Windows Arbitrary Files Execution (GIF, MP3)
Summary
Through PHP.EXE, an attacker can cause PHP to interpret any file as a PHP file,
even if its extensions are not PHP. This would enable the remote attacker to
execute arbitrary commands, leading to a system compromise.
Details
Vulnerable systems:
PHP version 4.1.1 under Windows
PHP version 4.0.4 under Windows
An attacker can upload innocent looking files (with mp3, txt or gif extensions)
through any uploading systems such as WebExplorer (or any other PHP program that
has uploading capabilities), and then request PHP to execute it.
Example:
After uploading a file a \"gif\" extension (in our example huh.gif) that contains
PHP code such as:
#------------
<?
phpinfo();
?>
#------------
An attacker can type the following address to get in to cause the PHP file to be
executed:
http://www.example.com/php/php.exe/UPLOAD_DIRECTORY/huh.gif
Notice: php/php.exe is included in the URL.
Additional information
The information has been provided by CompuMe and RootExtractor.
ps:大部分版本都有这个毛病.包括一些最新版本，所以请不要以cgi安装!切记...
3.安装mysql
安装到d:\\，也很简单，具体过程pass.
只是mysql安装后的默认设置实在让人担心
以下引用我原来的文章
-----------------------------------------------------------------------------------
2002/12/21
写在前面:无事可做，生命被消耗，痛~~~啊，所以就写了，本文no原创，整理而成！
默认安装的mysql服务不安全因素涉及的内容有：
一.mysql默认的授权表
二.缺乏日志能力
三.my.ini文件泄露口令
四.服务默认被绑定全部的网络接口上
五.默认安装路径下的mysql目录权限
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
一.mysql默认的授权表
由于mysql对身份验证是基于mysql这个数据库的，也叫授权表。所有的权限设置都在这里了。
我们只讨论最为重要的一个表 user表。它控制的是接受或拒绝连接。
先看一下
select host,user,password,Delete_priv from user;
+-----------+------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+------+------------------+-------------+
| localhost | root | 67457e226a1a15bd | Y |
| % | root | | Y |
| localhost | | | Y |
| % | | | N |
+-----------+------+------------------+-------------+
现在新的版本，安装完毕都会出现一个快速设置窗口，用于设置口令。
以上，就是user表里的内容（略了点）看看有什么问题？
我们知道mysql的验证方式是比较特殊的，它基于两个2个信息来进行的
1.从那里连接
2.用户名
第一条没什么问题，当然口令必须是安全的。
第二条从任何主机，以用户root，不需要口令都可以连接，权限为所有的权限。(注:这里的权限是全局权限)
第三条从本地主机，任何用户名（注：user为空白，不表示不需要用户名），不需要口令，都可以连接，所有的权限
第四条从任何主机，任何用户名，不需要口令，都可以连接，无任何权限。
可以看出，2\\3\\4都是不安全的，如何攻击这里就不说了，请参看资料文库。
如果你mysql只允许本地连接，删除host的%和user中的nul(表示空)
delete from user where host=‘%‘;
delete from host where user=‘‘;
最后的user表，看起来因该是这个样子
+-----------+------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+------+------------------+-------------+
| localhost | root | 67457e226a1a15bd | Y |
+-----------+------+------------------+-------------+
最后需要刷新授权表，使其立刻生效
flush privileges;
如果你的mysql需要被远程使用，需要为%段中的root帐号，加上一个安全的密码
update user set password=password(‘youpass‘) where host=‘%‘;
其中youpass，就是口令
mysql> select host,user,password,Delete_priv from user;
+-----------+------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+------+------------------+-------------+
| localhost | root | 67457e226a1a15bd | Y |
| % | root | 77c590fa148bc9fb | Y |
+-----------+------+------------------+-------------+
更好的做法是，对远程主机的连接，指定为特定的
修改host中的%为允许连接的主机，比如：
192.168.0.% 允许一个特定的子网
www.sandflee.net 允许一个特定的主机
帐号默认的名字也是担心的问题。有可能导致被暴力破解
update user set user=‘localadmin‘ where host=‘localhost‘;
update user set user=‘remoteadmin‘ where host=‘%‘;
最后的user表看起来像是这个样子
mysql> select host,user,password,Delete_priv from user;
+-----------+-------------+------------------+-------------+
| host | user | password | Delete_priv |
+-----------+-------------+------------------+-------------+
| localhost | localadmin | 67457e226a1a15bd | Y |
| % | remoteadmin | 77c590fa148bc9fb | Y |
+-----------+-------------+------------------+-------------+
更为详细的资料，请去参考晏子的《MySQL中文参考手册》。随便那都有下
二.缺乏日志能力
mysql安装完成以后，会在%SystemRoot%目录下产生my.ini的设置文件
默认的内容如下：
——————————————————————————————
basedir=C:/mysql
#bind-address=192.168.0.1
datadir=C:/mysql/data
#language=C:/mysql/share/your language directory
#slow query log#=
#tmpdir#=
#port=3306
#set-variable=key_buffer=16M
[WinMySQLadmin]
Server=C:/mysql/bin/mysqld-nt.exe
user=root
password=root
注意log#=这个
它没有被定义，且被注销掉了。
更改为一个适合的路径，比如：
log=c:/mysql/logs/mysql.log
三.my.ini文件泄露口令
我们看到my.ini最后，有这两句
user=root
password=root
如果，你安装完成时，使用了mysql所提供的快速设置功能，(较新的版本)你的帐号和口令将被写到my.ini文件中。
这也是mysql写到启动组里的winmysqladmin.exe工具，运行时需要读取的。它提供的mysql服务
的一些监视功能。这样winmysqladmin.exe才能获得mysql服务的状态信息。
其实，这个也不算漏洞,我们看看my.ini默认的权限，它可以被user组用户读取。
从而导致口令被泄露
解决方法：
从新设定my.ini文件的权限.
从新设定帐号及口令
不使用快速设置
四.服务默认被绑定全部的网络接口上
服务被绑定到了所有的网络接口上，比如，你只需要一个运行在内网的mysql服务，但是你的机器有
外网的接口，mysql也会被绑定上，从而带来一些不必要的麻烦和威胁。
在my.ini里的这句
#bind-address=192.168.0.1
它默认被注销掉了
应该打开它
如果，只是本地使用，更改为
bind-address=127.0.0.1
如果是其它情况，应该选者一个合适的网络接口
五.默认安装路径下的mysql目录权限
mysql默认的安装路径为c:\\mysql，基本上都难得改，要改的话也是麻烦，还要去改my.ini。
但，这样就有个问题
通常c:\\的权限是everyone组-所有的权限。这是默认的，由于继承性，导致mysql下的data目录
也是everyone组-所有的权限。导致被随意访问、读取、删除，可能泄露和破坏数据。
更改mysql目录到一个合适，安全的访问权限。
over...
-----------------------------------------------------------------------------------------
这里面有个小小的语法错误,请自己找出来：）

setup~
3个配置文档
httpd.conf---apache
php.ini-----php
my.ini------mysql
1.http.conf
由于ms版本的apache不像*nix下有
user,group这两条指令，所以你别指望它能像iis一样，把服务器应答影射到了iusr_name账号上
*nix下为nobody，所以你的apache是以system权限来运作的,它不太适合用于架设提供个人主页服务器
httpd.conf很多参数，基本不用修改就可以工作了
以下是要修改的地方
删除htdocs目录下的所有文件.删除cgi-bin下的所有文件，它们是用于测试用的，不应该被保留.
BindAddress * --需要绑定的地址 *只所有地址
DirectoryIndex index.html index.htm --默认首页的名字
AccessFileName .htaccess --控制文件名字,建议关掉或改名字,而且以\".\"开始的文件名在windows下是不允许的
ServerSignature on --出错信息,建议off.这样就不会显示你apache的版本号了
-----------------------------------------------
Alias /manual/ \"D:/Apache/htdocs/manual/\"
<Directory \"D:/Apache/htdocs/manual\">
Options Indexes FollowSymlinks MultiViews
AllowOverride None 清除
Order allow,deny
Allow from all
</Directory>
-----------------------------------------------
AddHandler cgi-script .cgi .pl --如果需要支持cgi，就需要打开，否者注释掉

LoadModule php4_module d:/php/sapi/php4apache.dll
AddModule mod_php4.c
AddType application/x-httpd-php .php --加入对php脚本的支持
2.php.inf

engine = On --打开php支持，如果不让php工作可以engine = Off
safe_mode = Off --安全模式,应该打开它safe_mode = On
safe_mode_exec_dir = --设定安全模式下可以执行程序的目录
disable_functions = 要关闭的函数,用\",\"分隔建议关闭phpinfo,get_cfg_var
expose_php = On 建议expose_php = Off,这样在header里就不会有php的版本号
display_errors =On 建议 display_errors =Off,这样所有错误信息，都将关闭
register_globals = Off 自动全局变量,一般都要打开register_globals = On,但会引发很多
安全问题，特别是一些写编写的不是很好的php脚本，有可能危及到你的web server
file_uploads = On 是否允许上传文件，如果你不需要就off
allow_url_fopen = Off 是否远程打开功能，建议关闭

;extension=php_gd.dll
;extension=php_gettext.dll
;extension=php_hyperwave.dll
;extension=php_iconv.dll
;extension=php_ifx.dll 打开一些需要支持的库，比如使用要使用图形函数
需要copy php/extensions/php_gd.dll到你的系统目录，然后去掉;
重新启动apache，就可以使用了
3.my.ini
上面有了,pass
安全建议，以上3个设置文件，把他们的权限设定为system所有权限，administrators所有权限

4.强化虚拟目录的安全性
一些重要的指令
具体的列子：
<Directory \"d:/Apache/htdocs/tools\">
Options Indexes
AllowOverride None
Order allow,deny
Allow from all
</Directory>
php_flag engine off ;关闭php解释执行功能
php_admin_value safe_mode 1 ;安全模式 1-打开 0-关闭
php_admin_value open_basedir d:/Apache/htdocs/tools ;限制在一个制定的目录
这样就限制了php脚本只能打开d:/Apache/htdocs/tools下的文件.
以下代码就没什么用了
-----------------------------------------------------------
$fd = fopen( $filename, \"r\" );
$view = fread($fd, filesize($filename));
echo \"<pre>\";
echo htmlspecialchars(\"$view\";);
echo \"</pre>\";
fclose( $fd );
-----------------------------------------------------------
启用apache-http验证功能
清除
<Directory \"d:/Apache/htdocs/home\">
...
...
allowoverride authconfig
</Directory>
中的

参数 allowoverride authconfig
注意的，这里的d:/Apache/htdocs/home，表示为我安装的apache服务的web根目录，你的和我的不一定一样
默认的，好象就没这个 allowoverride authconfig参数。
allowoverride authconfig参数的含义。
它的含义是，根目录下所有目录的访问控制由它目录下的.htaccess文件来设定。
这里，我要多说点废话了。
为什么是.htaccess，这个文件名，而不是其它的。
这个是在AccessFileName参数中定义的。默认的是这样。
AccessFileName .htaccess
你要做的清除allowoverride authconfig参数（加#或者删掉）
这样做的理由
1.我觉得麻烦（每个目录都需要放上.htaccess文件，且以\".\"开头的文件名在windows系统下，是不允许的。）
2.不太安全 （它有可能被人看到。）
如何对你所想要指定的目录进行验证？
一个列子
<Directory \"d:/Apache/htdocs/home\"> //定义要验证目录路径
AuthType Basic //方式，windows不支持md5，所以请使用basic方式
AuthName TEST //定义显示在对话框领域名字
AuthUserFile d:/Apache/user //定义密码文件
ErrorDocument 401 \"Error Password //定义验证失败后显示的内容，当然可以是文件了
require valid-user 注意，我这里让它直接显示Error Password，用\"开头就是了，只有一个哦
</Directory>
直接加到httpd.conf后面就是了。
然后在apache的安装目录里的bin目录里有个htpasswd.exe文件
请到cmd下运行它
d:\\Apache\\bin>htpasswd.exe
Usage:
htpasswd [-cmdps] passwordfile username
htpasswd -b[cmdps] passwordfile username password

htpasswd -n[mdps] username
htpasswd -nb[mdps] username password
-c Create a new file. //创建一个新的密码文件（你第一次使用，因该使用这个参数）
-n Don\'t update file; display results on stdout. //显示到屏幕
-m Force MD5 encryption of the password (default). //加密口令（md5方式）默认的
-d Force CRYPT encryption of the password. //使用CRYPT方式加密口令
-p Do not encrypt the password (plaintext). //不加密口令
-s Force SHA encryption of the password. //使用sha算法加密
-b Use the password from the command line rather than prompting for it. //互交方式
On Windows, TPF and NetWare systems the \'-m\' flag is used by default.
On all other systems, the \'-p\' flag will probably not work.
——————————————————————————————————————
列子：
d:\\Apache\\bin>htpasswd.exe -c d:\\apache\\user taotao
Automatically using MD5 format on Windows.
New password: ***
Re-type new password: ***
Adding password for user taotao
就创建完成了
其中，要注意的
passwordfile，不应该放到web目录，因为会被人下载，很蠢，虽然密码已经被md5过
-c 参数是用于创建一个新的密码文件。
d:\\apache\\user路径，要和你在
AuthUserFile d:/Apache/user 设置的一致。
然后从新启动你的apache服务

记得备份你的httpd.conf,php.ini和my.ini

安装ZendOptimizer-2[1].1.0a-Windows-i386.exe
很简单，它回自动修改你的php.ini(c:\\winnt\\php.ini)文件
添加了如下内容：
[Zend]
zend_optimizer.optimization_level=15
zend_extension_ts=\"C:\\Program Files\\Zend\\lib\\ZendOptimizer.dll\"

安装php优化器有很多的好处
加速了php的运行速度，最为重要的是它可以加密php脚本
这样你写在php脚本里的user ,pass就可以很好的被保护了
此外，你还可以修改apache的header，用utraedit32打开ApacheCore.dll
查找你所对应的apache版本号，改成别的就可以了

    

    来源: 互联网  发布时间: 2013-12-24

VxD程序分为两种：静态的和动态的。每种的加载方法都不同，接受到的初始化和结束的控制消息也不同。 
静态VxD: 
下列情况下，VMM加载一个静态VxD: 
一个实模式常驻程序通过调用中断2FH，1605H,来调用此VxD。 
此VxD在注册表中的如下位置有定义： 
HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Services\\VxD\\key\\StaticVxD=VxD带路径文件名 
此VxD在system.ini中的[386enh]行下有定义：[386enh] section: 

device=VxD带路径文件名 
在开发的时候，我建议你从system.ini载入VxD程序，因为这样如果你的VxD程序有错而导致Windows不能启动的话，你可以在Dos下修改system.ini，而如果你使用的注册表载入的办法，就无法修改了。 
当VMM加载你的静态VxD程序时，你的VxD程序会按以下顺序接收到三个系统控制消息： 
Sys_Critical_Init VMM在转入到保护模式后，开放中断前发出这个控制消息。大多数VxD程序到不要用到这个消息，除非： 
你的VxD程序要接管一些其他VxD程序或者保护模式程序要用到的中断。既然你处理这个消息的时候这个中断还没有打开，你就可以确定在你接管这个中断的时候此中断不会被调用。 
你的VxD程序为其他的VxD程序提供了一些VxD服务。例如，一些在你的VxD程序后加载的VxD程序在处理Device_Init控制消息时需要调用一些你的VxD服务，既然Sys_Critical_Init 控制消息在Device_Init消息之前被发送，所以你应该在Sys_Critical_Init 消息发送时初始化你的程序。 
如果你要对这消息进行处理，你应该尽可能快的做完初始化工作，以免太长的执行时间导致的硬中断丢失。(记住：中断还没打开) 
Device_Init VMM在开放中断后发送此信息。大多数VxD程序都在得到这个消息时初始化。因为中断都开放了，所以耗时的操作也可以在这里执行而不必怕会导致硬中断的丢失。你可以在这时进行初始化(如果你需要的话）。 
Init_Complete 在所有的VxD程序处理完Device_Init 消息之后,VMM释放初始化段（ICODE和RCODE段类）之前，VMM发出这个控制消息。只有少数几个VxD要处理这个消息。 
你的VxD程序在成功地初始化后，必须将返回标志清零，反之，必须在返回之前把返回标志设为出错信息。如果你的VxD不需要初始化，你就不必对这些消息进行处理。 
当要结束静态VxD的时候，VMM发送如下的控制消息： 
System_Exit2 当你的VxD程序收到这个消息，Windows95正在关闭系统，除了系统虚拟机所有其他虚拟机都已经退出了。尽管如此，CPU仍然处于保护模式下，在系统虚拟机上执行实模式编码也是安全的。在这时Kernel32.dll也已经被卸载了。 
Sys_Critical_Exit2 当所有的VxD完成对System_Exit2的响应处理并且中断都被关闭后，你的VxD收到到这个消息。 
许多VxD程序并不要响应这两个消息，除非你要为系统做转换到实模式的准备。要知道，当Window95关闭时，它进入到实模式。所以如果你的VxD程序对实模式影像做了一些会导致它不稳定的操作，它就需要在这时进行恢复。 
你也许会感到奇怪：为什么这两个消息后面都跟着个“2\" ”。这是因为：在VMM加载VxD程序的时候，它是按照初始化顺序值小的VxD先加载的顺序加载的，这样VxD程序就可以使用那些在它们之前加载的VxD程序提供的服务。例如，VxD2要用到VxD1中的服务，它就必须把它的初始化顺序值定义的比VxD小。加载的顺序是： 
..... VxD1 ===> VxD2 ===> VxD3 ..... 
那么卸载的时候，理所当然的是初始化顺序值大的VxD程序先被卸载，这样他们仍然可以使用比它们后加载的那些VxD程序提供的服务。如上面的例子，次序是： 
.... VxD3 ===> VxD2 ===> VxD1..... 
在上边的例子中，如果VxD2在初始化时调用了VxD1中的某些服务，那么卸载时它可能也要再次用到一些VxD1中的服务。System_Exit2和Sys_Critical_Exit2是反初始化顺序发送的。这表示，当VxD2接受到这些消息时，VxD1还没有被卸载，它仍可以调用VxD1的服务，而System_Exit和Sys_Critical_Exit消息不是按照反初始化顺序发送的。这意味着，你不能肯定你是否仍能调用在你之前加载的VxD提供的VxD服务。新一代的VxD程序不应该使用这些消息。 
还有两种退出消息： 
Device_Reboot_Notify2 告诉VxD程序VMM正在准备重新启动系统。这时候中断还是开放的。 
Crit_Reboot_Notify2 告诉VxD程序VMM正在准备重新启动系统。这时候中断已经被关闭了。 
到这里，你可以猜到还有Device_Reboot_Notify和Crit_Reboot_Notify 消息，但它们并不是像“2”版本的消息一样按反初始化顺序发送的。 
动态VxD: 
动态VxD在Windows9x里可以动态的被加载和卸载。这个特点在Window3.x下是没有的。动态VxD程序的主要作用是用来支持某些动态的硬件设备的重装，比如：即插即用设备。尽管如此，你可以从你的Win32程序中加载/卸载它，也可以把它看作是你的程序的一个到ring-0的扩展。 
上一节我们提到的例子是一个静态的VxD，你可以把它转换成一个动态的VxD，只要在.def文件中VxD标记的后面加上关键字DYNAMIC。 
VxD FIRSTVxD DYNAMIC 
这就是你把一个静态VxD转换成一个动态的VxD所要做的一切。 
一个动态的VxD可以按以下的方法被加载： 
把它放到你的Windows目录下的\\SYSTEM\\IOSUBSYS目录中。在这个目录里的VxD会被输入输出监视器(ios)加载。这些VxD必须支持层设备驱动。所以用这种方法加载你的动态VxD并不是一个好办法。 
用VxD加载服务。 VxDLDR是一个可以加载动态VxD的静态VxD。你可以在其他VxD里面或者在16位代码里面调用它的服务。 
用Win32应用程序里的 CreateFile API。你在调用CreateFile时，你的动态VxD要以下面的格式填写： 

\\\\.\\VxD完整路径名 

例如，如果你要加载一个在当前目录下名为FirstVxD的动态VxD，你需要做如下的工作： 

.data 
VxDName db \"\\\\.\\FirstVxD.VxD\",0 
...... 
.data? 
hDevice dd ? 
..... 
.code 
..... 
invoke CreateFile, addr VxDName,0,0,0,0, FILE_FLAG_DELETE_ON_CLOSE,0 
mov hDevice,eax 
...... 
invoke CloseHandle,hDevice 
...... 


FILE_FLAG_DELETE_ON_CLOSE 这个标志用来说明该VxD在CreateFile返回的句柄关闭时被卸载。 
如果你用CreateFile来加载一个动态VxD，那么这个动态VxD必须处理w32_DeviceIoControl 消息。当你的动态VxD第一次被CreateFile函数加载的时候，VWIN32 向你的VxD发出这个消息。你的VxD响应这个消息，返回时eax中的值必须为零。当应用程序调用DeviceIoControl API来与一个动态VxD通讯时，w32_DeviceIoControl消息也被发送。我们会在下一章讲到DeviceIoControl接口。 
一个动态VxD在初始化时收到一个消息： 
Sys_Dynamic_Device_Init 
在结束时也收到一个控制消息： 
Sys_Dynamic_Device_Exit 
动态VxD不会收到Sys_Critical_Init, Device_Init和Init_Complete控制消息，因为这些消息是在系统虚拟机初始化时发送的。除了这三个消息，动态VxD能收到所有的控制消息，只要它还在内存里。它可以做静态VxD可以做的所有事情。简单的说，动态VxD除了加载机制和接收到的初始化/结束消息跟静态VxD不同以外，它能做静态VxD所能做的一切。 
其它系统控制消息 
当VxD在内存里的时候，除了接收和初始化及结束相关的消息外，它还要收到许多别的控制消息。有些消息是关于虚拟机管理器的，有的是关于各种事件的。例如，关于虚拟机的消息如下： 
Create_VM 
VM_Critical_Init 
VM_Suspend 
VM_Resume 
Close_VM_Notify 
Destroy_VM 
选择地响应你所感兴趣的消息是你自己的责任。 
在VxD内创建函数 
你要在一个段里面定义你的函数。你应该首先定义一个段，然后把你的函数放进去。例如，如果你要把你的函数放到一个可调页段中。你应该先定义一个可调页段，像这样： 
VxD_PAGEABLE_CODE_SEG 
（你的函数写在这里） 

VxD_PAGEABLE_CODE_ENDS 

你可以在一个段里面插入多个的函数。作为一个VxD编写者，你必须决定每一个函数应该放到哪个段里面去。如果你的函数必须时刻存在于内存中，如某些硬件中断处理程序，就把它们放到锁定页面段里面，否则，你应该把它们放到可调页段。 
你要用BeginProc和EndProc 宏来定义你的函数： 
BeginProc 函数名 
EndProc 函数名 

使用BeginProc 宏还可以加上一些参数，想了解这些细节，你可以看看Win95 DDK的文档。大多数时候，你只用填写函数的名字就够了。 
因为BeginProc-EndProc 宏比proc-endp 指令的功能要强，所以你应该用BeginProc-EndProc宏来代替proc-endp指令 
VxD编程约定 
寄存器的使用 
你的VxD程序可以使用所有的寄存器，FS和GS。但是在改动段寄存器的时候一定要小心。尤其是，一定不要改动CS和SS的内容，除非你对将发生的事情有绝对的把握。你可以使用DS和ES，但一定要记住在返回时恢复它们初值。有两个特征位尤其重要：方向和中断特征位。不要长时间的屏蔽中断。还有如果你要改动方向特征位，不要忘了在返回之前恢复它的初值。 
参数传递约定 
VxD服务函数有两种调用约定：寄存器法和堆栈法。调用寄存器法服务函数时，你通过各种寄存器来传递服务函数的参数。并且，在调用完成后检查寄存器的值来看操作是否成功。不要总是以为在调用服务函数后主要寄存器的值还和以前一样。当调用堆栈法服务函数时，你把要传递的参数压栈，在eax得到返回值。堆栈调用法的服务函数保存ebx，esi，edi和ebp的值。许多寄存器调用法服务函数都源于Windows3.x的时代。在大多数时候，你可以通过名字来区分这两种服务函数，如果一个函数的名字一下划线开头，如_HeapAllocate，它就是一个堆栈法的服务函数（除了少数从VWIN32.VxD导出的函数）。如果函数名不是一下划线开头，它就是一个寄存器法的服务函数。 
调用VxD服务函数 
你可以通过VMMCall和VxDCall 宏来调用VMM和VxD服务。这两个宏的语法是一样的。当你要调用VMM导出的VxD服务函数时，用VMMCall。当你要用其它VxD程序导出的VxD服务函数时，用VxDCall。 
VMMCall service ; 调用寄存器法服务函数e 
VMMCall _service, ; 调用堆栈法服务函数 
正如我在前面所讲的，VMMCall和VxDCall分解出一个跟着一个双字的20h中断，这样用起来很方便。当你调用堆栈法服务时，你必须用角括号把你的参数列括起来。 
VMMCall _HeapAllocate, <, HeapLockedIfDP> 
_HeapAllocate是一个堆栈法服务函数。它有两个参数，我们必须用角括号把它们括起来。由于第一个参数是一个这个宏不能正确解释的表达式，所以我们又要用一个角括号把它括起来。 
Flat地址 
在老的编译工具里，当你使用offset 操作符时，编译器和联接器会生成错误地址，所以VxD编写者用offset flat:来代替offset。imm.inc包括了一个使这更简单的宏：OFFSET32 来代替offset flat:。所以如果你要用地址操作时，用OFFSET32 来代替offset操作符。 
注意： 当我写这篇教程的时候，我试了一下用offset 操作符。它可以生成正确的地址。所以我想MASM6.14修正了这个bug。但是为了安全起见，你还是应该用OFFSET32宏来代替offset。