我遇到了Apache的问题。 它是这样做的：把/index.php文件包含一个代码，将src设置为相对pathmyimg.jpg，这两个文件都在我的服务器的根目录下。 所以，www.mysite.com会显示图像www.mysite.com/index.php。 但是，如果我访问www.mysite.com/index.php/（带有斜线），它会执行index.php代码，因为它会在index.php文件夹中（例如/index.php/index .php），因此不再显示图像。 这是一个简单的例子，很容易解决绝对寻址等，我从这个安全问题，是不是很容易修复。 那么，当文件被“作为文件夹”访问时，我怎么能让Apache给403或404？ 谢谢。
我有一个使用HAProxy的群集中的3个Apache服务器。 目前，我允许在3台服务器之间的后端IP上的所有stream量 – 我想只允许在HTTP端口（和memcached端口）上的内部数据包 – 这是顶部？ 安全性好处是否超出了性能影响（是否有一个？）。 据我所知，加强防火墙之间的私人防火墙只会有利于从前端侵入其中一台服务器，从而阻碍攻击者在内部可以做的事情。 你是做什么？ 谢谢
今天，我在Squid访问日志中发现了大量的恶意请求： http://119.161.9.14/config/pwtoken_get? 我认为这对我和其他用户来说是安全的，因为网站使用cookies来跟踪访问者，所以“黑客”不会得到任何东西，对吧？
我在人们通过Vnc连接的服务器上运行一系列虚拟机。 计算机主要用于渗透testing，因此涉及的人员相当费力。 我的困境是，他们通常可以绕过任何机载软件的安全性来限制对互联网的访问。 所以我正在寻找替代品，我发现了一个想法，通过代理服务器运行互联网。 我最好如何创build一个代理服务器？ 如果可能的话，我有一个运行Linux的备用盒子在Linux上做这个方法将不胜感激。 就像一个侧面的问题，如果我决定通过代理来运行它，互联网的速度会有多快，互联网目前的速度是15Mbps 对不起，如果没有进入足够的细节，我会很乐意阐述如有必要。 开源工具将不胜感激。
acctlogging所有进程的执行情况，以及执行它们的用户，logging统计数据，如实时stream逝和CPU时间。 我已经看到它表明这可能是有用的法医背景，即工作谁执行什么，什么时候。 但是，因为它只是logging过程的名称 ，所以我想知道它真正增加了什么价值。 如果我执行 $ cp /usr/bin/cc vi $ ./vi malware.c -o ls $ ./ls 那么进程记帐日志将只包含名为“cp”，“vi”和“ls”的条目 – 全部无害。 因此，会计处理appearas提供有限的安全利益。 任何相反的意见？
作为一个Windows服务器（存储在现场）的安全性的另一层，我正在考虑使用TrueCrypt。 不过我的担心是，如果我的web应用程序仍然会按预期工作？ 我不想让任何人访问这台机器，但仍然有networking应用程序在局域网上正常工作。 谢谢
我在AIX上有一个/ etc / security / user文件，我有一个如下所示的节： someuser: expires = 0912154623 account_locked = false expires = 0116202437 account_locked = false 在这种情况下哪个值优先？ 这是SA的错误，但我很好奇AIX如何处理这个问题。
我使用优秀的s3工具（ http://s3tools.org/s3cmd ）将文件从基于Linux的服务器备份到S3。 有谁知道一个好的策略，以便我可以使用这个工具来上传一个S3的方式，这样如果我的服务器在不知不觉中被完全破坏，我的S3备份仍然不能被删除？ 一个要求是备份是非交互式的。 我的问题是保存的.s3cfg文件具有秘密访问密钥，攻击者可以完全访问S3。 据我所知，唯一的办法就是如果我可以通过只写（而且没有权限删除）authentication的上传到S3，这似乎不是一个选项。 也许我错过了什么？ 谢谢。
我一直是一个完全分离所有环境的证书环境的倡导者。 最近我被要求考虑在我们的产品和非产品Active Directory环境之间build立信任关系的后果，例如一个产品ID可以pipe理DEV和QA环境，但是反过来却不行。 我理解这样做的技术细节，但从最佳实践的angular度来看，我觉得不对。 目前有没有人在生产环境和非生产环境之间有一种信任pipe理的方式？ 你有没有遇到问题或原因不这样做？
嗨，我想阻止访问插入任何数据SQL时，从确定的Active Directory组中的用户访问来自MS ACCESS的SQL。 这可能吗？ 如果没有，有没有其他的select？ 我已经尝试过一个服务器触发器，并且能够通过IP阻止对某人的sql访问以及程序名称。 但我想防止插入，有没有办法做到这一点？ 谢谢，Gabriel