Linux安全环境搭建：零配置到生产就绪

　　去年八月，我蹲在机房闻了四天机油味，风扇吹得后颈发痒，客户老张凌晨两点发微信：“首页快照退到六月了，是不是被黑了？”我一边回“查一下收录”，一边点开百度搜索框敲自己站名——没结果。再敲site:，出来三百七十二个词，全是二级域名底下带php?id=的废弃列表页。我原以为是CDN缓存抽风，结果清完所有节点，蜘蛛日志里连UA都开始飘红。

　　那天在下雨，窗户缝漏进来的水汽把服务器机柜侧面洇出一道灰印；隔壁装修电钻声断断续续，像卡顿的HTTP响应头。群里王工甩了个[裂开]表情包，配字：“刚收到通知，友链里三个站全挂了301跳转到博彩页面——其中两个还是我们上个月刚互换的。”我翻聊天记录，发现最早那个跳转是七月二十九号凌晨三点零七分建的，而我手里的监控告警邮件，收件时间是七月三十号下午四点十五分。这个我敢打包票：中间那二十七个小时，谁都没看后台，包括我。

　　阳台衣服没收，挂了一周，领口霉斑扩成地图轮廓。我对着nginx.conf盯了两小时，删掉三行ssl_ciphers配置，加回两行allow，再把deny all改成geo $bad_ip { default 0; }——但第二天早上起来，新站依然不收录。不是抓取频次低，是压根没来。爬虫User-Agent字段后面跟着个“-unidentified”，后面缀着个空格和乱码。这事儿不对劲。可到底是哪次更新的事我说不准。是上周改的SELinux策略？还是那台被运维随手装了docker的测试机跑起了未知端口？

　　查一下收录。先搜关键词加site，等十秒；再点开“百度快照”链接，跳转失败；刷新一次，提示“该网页可能已被删除或暂时无法访问”。我换手机查，同一词，PC端无结果，移动端首页第三条。我又登SSH去查access.log，翻到昨天十八点十七分，有个IP段打进来三百多次，全部请求/user/profile.php?uid=，参数全是负数、小数、带中文括号的字符串。我让小陈写脚本拦，他回：“老板，这IP段归属地是某云的高防池……咱的iptables规则根本没生效。”

文章配图，仅供参考

　　客户老张又催：“快照回退就算了，现在搜索‘XX品牌 官网’，前五全是盗链站，镜像页title都抄我们的，连错别字都一模一样。”我扒源码，发现对方robots.txt里明晃晃写着“Allow: /”，而我们的却写的是“Disallow: /wp-includes/”，偏偏忘了加“Disallow: /wp-content/plugins/”。采集程序认得这个路径，直接扒走整套模板结构。我原以为只要首页meta标签不泄露关键词就能扛住识别，结果人家用css类名匹配+DOM深度判定+文本密度比对，三步就把我们首页当母版拎走了。冷眼看着那堆div class="main-container-wrapper"挨个被复刻，跟照镜子似的。

　　说到镜像……想起九八年做站群时，用Apache的mod_rewrite硬写三百条重定向规则，只为把采集站的Referer头识别成特定模式再302跳回404。那时候没人提“指纹对抗”，全靠肉眼比对Log里User-Agent的大小写拼写错误。后来有个同行在群里说：“蜘蛛是瞎子，只认URL结构。”我当场笑出声——你见过蜘蛛抓取时带Cookie还校验CSRF token的吗？它当然瞎，可瞎子也会被诱捕。只是当年我们诱捕的是人，现在诱捕的是算法本身。这话说出来有点邪，但我信。

　　桌上的烟烧到滤嘴，烫了手指。我把烟按灭，打开另一台服务器终端，cd /var/log/apache2，tail -f error.log，等了三分钟，没新报错。倒是access.log里突然跳出一行来自百度蜘蛛的GET /wp-admin/admin-ajax.php?action=health_check，status 403。我愣了两秒，忽然笑出声——他们居然也在跑健康检查脚本。而我们三个月前删掉了整个wp-admin目录，只留着index.php和README.md。所以它返回403不是因为权限，是因为文件不存在。这逻辑根本拧不过来。

　　我不怪搜索引擎。也不怪客户逼得太紧。更不怪小陈写的拦截脚本漏判了IPv6伪装流量。我怪自己，八月一号那天在部署脚本末尾写了#TODO：audit selinux booleans，然后一直拖到八月十六号才想起来grep -i httpd /etc/selinux/targeted/contexts/files/file_contexts —— 结果发现httpd_sys_rw_content_t根本没赋给uploads目录。就差这一行。就差这么一行。而我在群里看到老张转发来的友链失效截图时，还在想是不是该给对方补个反向代理白名单。

　　明天先把手上那批页面删一半试试。不是首页，不是栏目页，是那些从没被外链指向过的、PHP生成的、带session_id参数的、三年前为搞活动临时搭的列表页。删完之后，再看蜘蛛回不回来。别的，等雨停再说。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!