分类： Apache

Apache是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。

Ubuntu 14.04系统上使用Apache2.4.10+PHP5+FastCGI的WordPress网站大量php5-cgi defunct引起网站访问异常缓慢

最近网站访问异常缓慢，网站响应时间明显延迟很多，观察系统的处理器占用，一点都不高，带宽也在合理范围之内，因此分析Apache-2.4.10的错误日志

发现大量的出现

如下图：

感觉很奇怪，于是看了一下php相关的进程，执行命令

执行结果如下图：

发现大量的php5-cgi进程处于defunct状态（僵尸状态），导致达到了进程数量的限制上限，无法继续提供服务。

但是上面的日志，是已经出现问题的时候的日志，既然进程不足了，自然无法提供服务了，继续向上追踪，发现大量的进程崩溃日志

感觉很奇怪，最初以为是由于调整Apache-2.4.10服务器，多次在正常运行中重启服务器，导致正在服务的php5-cgi进程变成了僵尸进程。但是重启服务器之后，过了几天后，问题依旧发生了。

于是网上搜索了一下，感觉应该更像是PHP-CGI进程本身存在内存泄漏问题，导致进程长时间执行之后，由于资源开销问题导致进程崩溃。

目前我的服务器上启用的是Apache2的Event MPM模块,查看其中的配置文件：

可以看到里面的内容如下：

发现，设置MaxConnectionsPerChild参数为0,根据 Apache MPM Common Directives 里面的介绍，这个参数的作用就是一个进程处理多少个请求后就退出。而如果设置了 0 则代表，除非出现了异常，否则进程会一直存在。这样的话，一旦资源泄漏，进程就会各种异常了。因此需要设置一下这个参数，一般这个参数设置为1000-5000左右，根据实际情况自己调整一下参数。注意：这个参数的设置是会影响到网站的访问速度的，尤其是当服务器的连接次数到达限制的时候，此时大量的服务器进程都在重启，导致此时的访问要么被重置要么耗时变的非常长。因此，如果没有资源泄漏的话，可以不设置这个限制。

注意一下这个介绍的最后一句话，讲的就是这个参数可以修正资源泄漏问题，如下：

修改参数后，需要重启服务生效。

按照上面的方法实现后，过了一个礼拜后，这个现象再次发生了。

观察了一下Apache2当前已经启用的模块

发现，由于是从Apache2.2升级到的Apache2.4，或许是某次的配置，导致fastcgi与fcgi两个模块同时被启用了。

是不是两个相同功能的模块同时启用导致功能冲突了呢？

先尝试禁用fastcgi(这个模块已经被fcgi替换了).

目前看来，问题依旧发生了！！！

查看Apache2中的FastCGI的配置信息

可以看到如下内容

其中的AddHandler中的.php引起了注意，因为在日志中出现问题之前一直会出现如下的错误日志：

而这个配置项是从Ubuntu 12.04中手工引入的，我们尝试去掉这个。另外，可以看到

也就是FastCGI的最大进程数是被设置成了10,但是，我这边限制PHP-FPM的最大进程数为5，是不是FastCGI的进程数如果大于PHP-FPM能够提供服务的数量的时候，会导致FastCGI进程出现僵尸状态呢？ 是不是这个原因导致的呢？ 于是修改后的结果如下：

经过这几天的观察，貌似现象不再出现了，这个应该是Apache 2.4版本引入的BUG,以前的配置的Apache 2.2版本上是没有任何问题的，究竟原因是mod_fcgid无法处理.php格式的脚本导致，还是由于mod_fcgid进程数高于php-fpm的进程数导致mod_fcgid进程长时间无法获取到可用的php-fpm连接，导致进程被饿死，这个暂时不详细追究了。

今天在修改配置的时候，由于配置错误，导致PHP-FPM服务无法正常启动，但是整个服务器竟然一直可以正常访问，那么结论就是Apache 2.4在当前的配置下，根本就没有使用PHP-FPM模式进行通信，而是使用标准的FastCGI的方式调度的。
于是网上搜索半天，结合自己的尝试，找到了根本原因：

上面的配置在Apache 2.2版本上是不影响后面启用的PHP-FPM配置的，对于PHP的请求，最终都是定向到PHP-FPM的。但是相同的配置在Apache 2.4上面，则被定向到了FastCGI上面。因此修改方式如下(至少要高于2.4.10，否则配置无效)：

至此，应该才是从根本上解决了服务器上的问题。

开始的时候忽略了一个基础的问题，那就是php5-cgi跟php5-fpm进程本身就不应该同时存在，如果服务器使用php5-fpm，那么php5-cgi的进程就不应该被调用，这个问题没有重视，导致了整个问题分析时间冗长，反复。

本质上是服务器的配置错误导致问题。

Ubuntu 14.04上的Apache服务器限制单个用户的下载带宽

今天突然发现自己的服务器访问异常缓慢，从阿里云的监控平台上看到，CPU的利用率并不高，但是带宽却已经被吃满了，导致网站访问异常缓慢，跟踪了一下发现是某个用户下载网站上的大文件导致了带宽吃紧的情况。因此需要限制某个用户的独占带宽。

具体操作

1.安装带宽限制模块

2.启用模块

3.配置网站对于带宽的限制规则

在原有的

之间增加如下内容

然后重启Apache2.

注意，如果配置了HTTPS，那么对应的配置文件也需要调整。

参考链接

Ubuntu 14.04服务器Apache禁止某些User Agent抓取网站

最近网站上，被某些爬虫占用了太大的资源，导致访问不畅，网上搜了一下禁止某些爬虫的办法。

下面这些方法需要同时实施才足够稳妥。

1.在网站根目录下修改或创建.htaccess文件

注意，这个过滤条件需要添加到整个.htaccess文件的头部，否则可能由于其他的过滤条件而跳过了这个过滤条件，导致某些情况下不生效。

2.修改Apache2的配置文件

禁止某些User-Agent的访问

注意：

中间不可用空格，否则无法成功生效。

3.网站根目录下面增加robot.txt,禁止爬虫

4.对于使用ProxyPass,ProxyPassReverse代理转发的情况

使用如下配置进行过滤

注意：

中间不可用空格，否则无法成功生效。

5.验证刚刚的服务器设置是否已生效

刚刚的设置完成后，我们需要修改浏览器的User Agent,来验证一下我们的设置是否已经生效了。
以Chrome-55.0为例，Windows下面按下F12,在弹出的窗口中进行如下操作：

参考链接

服务器反爬虫攻略：Apache/Nginx/PHP禁止某些User Agent抓取网站

Apache-2.4使用ServerAlias实现同一个网站绑定多个域名(Ubuntu 14.04)

最近自己申请了多个域名，打算绑定到同一台服务器上面，网上搜索了一下，很多的答案是开多个主机的方式来处理，方式可以，但是比较繁琐，不如使用ServerAlias来的方便。
ServerAlias：服务器别名，在Apache中可以用于设置虚拟主机接收到个域名，也可以用于接收泛解析的域名。具体的设置方法如下：

可以看到如下的配置内容：

注意其中的ServerAlias字段，就是指定多个域名同时指向的这个服务器的。中间用空格来区分。

注意上述的ServerAlias中，包含www字段的域名www.mobibrw.com，跟不包含www字段的域名mobibrw.com声明了两次，目的是某些浏览器在进行域名认证的时候（HTTPS证书校验），采用的是全字匹配，导致尽管这两个实际上是指向同一个地址，但是这些浏览器会报告域名证书不正确。

同样道理，对于使用了HTTPS的服务器来说，这个更重要

执行跟上述相同设置即可。
如果跟本站一样使用Let‘s Encrypt颁发的SSL证书的网站来说，修改完成配置后，需要重新申请一下证书。

Tomcat 7使用AJP协议导致AJP端口被意外暴露给外网

使用Ubuntu 13.10 Apache 2.2 通过 AJP 整合 Tomcat 7中的方法配置了通过AJP协议来通过Apache进行访问的代理。

但是最近发现Tomcat有时候会崩溃掉。刚刚开始以为是正常的OOM,后来分析日志，并没有找到相关的记录，反倒是发现如下内容：

于是感觉有些奇怪，因为AJP协议应该不会发生非常频繁的通信协议错误问题。结果尝试从外网连接Tomcat的Ajp端口8009，发现竟然可以通过telnet连接成功！！说明端口意外暴露给了外网。

那么根据The AJP Connector中的介绍说明（注意address部分），如果没有指定IP地址的话，默认是绑定任意地址，这样就导致外网也可以访问这个端口。因此出于安全考虑，我们需要增加这个address的设置，并且绑定到127.0.0.1。最终结果如下：

而我在配置的时候，恰恰少设置了address="127.0.0.1".这个这种错误有些低级啊。

Ubuntu 14.04系统Apache 2.4.7版本使用mod_headers过滤HTTP响应头中的WP-Super-Cache字段

服务器上面安装了WP-Super-Cache后，服务器的响应报文中会自动增加一个WP-Super-Cache字段，这个字段会暴露服务器的一些细节，而WP-Super-Cache的设置中又没有找到去掉这个字段的设置选项。

如下图：

WP-Super-Cache-Http-Response

比较简单的解决方法就是，使用Apache2自带的mod_headers模块，通过修改.htacess配置文件的方式来去掉这个响应信息。

1.在网站目录下的.htacess文件中增加如下语句

2.启用mod_headers模块

3.重启Apache2服务

Ubuntu 14.04主机优化加速mod_pagespeed安装使用

背景介绍

谷歌优化加速mod_pagespeed作为Apache HTTP Server的module，它能在服务网页请求的即时做出超过15种的优化调整，包括优化缓存，最小化客户端—服务器往返路程，压缩有效传输体积。
经过实验观察，mod_pagespeed最高能使页面加载时间压缩50%。
项目已经被迁移到了GitHub，链接地址为：https://github.com/pagespeed/mod_pagespeed

Apache mod_pagespeed安装方法

1.下载安装包

32位系统

64位系统

鉴于国内被和谐的情况，可以本站下载 64位Ubuntu点击这里 32位Ubuntu点击这里

2.安装

3.重启Apache2

4.检查是否安装成功

5.潜在问题

安装这个插件之后，可能会导致页面在不同操作系统之间的显示错乱问题，目前WordPress上会出现这种问题,应该是缓存导致的问题，因为WordPress会根据系统，浏览器的不同来进行页面兼容处理，如果直接返回缓存数据，反而会出问题。目前暂时只能是禁用这个插件了。

另外，当主机的CPU，内存有限的情况下，这个模块反而增加了系统开销，导致系统响应缓慢。有些Javascript代码被优化后，会工作不正常，目前看来，对小网站来说副作用大于正面作用。

参考链接

主机优化加速mod_pagespeed和ngx_pagespeed安装使用

Ubuntu 14.04编译安装Apache 2.4.20

1.安装开发工具包

2.下载Apache 2.4.20的源代码

3.安装apr依赖库

4.安装pcre库

5.解压缩代码

6.配置并编译

参考链接

Ubuntu 12.04升级到Ubuntu 14.04导致Apache2从2.2升级到2.4.10版本PHP服务器的重新修正

现象

服务器已经根据Ubuntu 12.04下安装配置Worker工作模式的Apache 支持PHP设置成了Worker模式，但是当系统从Ubuntu 12.04升级到Ubuntu 14.04导致Apache2从2.2升级到2.4.10版本后,而MPM模块被还原为prefork模式,导致大量的Apache2进程被创建出来，时间稍微一长，系统出现大量的OOM记录，直到系统最后宕机。

Ubuntu 14.04下查看所有可用的MPM模块,命令如下：

查看当前正在使用的MPM模块,命令如下：

可以看到，目前正在使用的模块就是prefork模块。

使用apachectl -V | grep -i mpm可以更加清晰的打印出当前使用的模块

注意，在Ubuntu 14.04下执行apache2 -l命令与Ubuntu 12.04下面的输出结果是不同的，Ubuntu 14.04下如果使用prefork模块输出的信息如下：

默认情况下Ubuntu 14.04中的PHP默认是没有线程安全支持，如果使用mpm_event支持的话，会提示如下信息：

修复方式

1.重新安装系统升级过程中可能会被移除的PHP-FPM模块

2.关闭Apache2内建的PHP支持，开启Apache2的FastCGI,PHP5-FPM支持

3.修改PHP5-FPM的配置文件

找到

修改为：

注意，上面修改了四处地方，listen,listen.owner,listen.group,listen.mode。
注意，如果提示如下错误：

则说明listen.owner,listen.group,listen.mode这三行没有打开。
4.重启PHP5-FPM服务

5.切换Apache2到Event-MPM模式

6.启用Apache2的cache,expire,gzip模块，加强服务器性能

7.卸载libapache2-mod-php5，否则每次这个模块更新之后，都会导致apache2被自动切换到mpm_prefork模式

8.调整配置文件

Apache 2.4.10的配置文件如果按照Apache 2.2的配置文件的话，是没办法启用PHP-FPM的，Apache 2.4.10版本使用SetHandler的方式支持PHP-FPM是改动最少的一种方式了。

找到

调整为如下：

同理，调整HTTPS的配置文件。

9.重启Apache2服务

参考链接

Ubuntu 14.04隐藏Apache-2.4的版本号与操作系统类型

一般情况下，软件的漏洞信息和特定版本，特定操作系统是相关的，因此，软件的版本号以及操作系统类型对攻击者来说是很有价值的。

在默认情况下，Apache会在返回信息中把自身的版本号，操作系统类型都显示出来，如下图：
Apache2-403

这样做会造成潜在的安全风险，导致不必要的攻击行为。

在Ubuntu 14.04系统上隐藏Apache-2.4的版本号与操作系统类型的方法如下：

把文件中的的ServerTokens OS修改为ServerTokens Prod,ServerSignature On修改为ServerSignature Off,如下图所示：

apache2-security-conf

修改完成后，重启Apache2的服务

修改后的结果如下图所示，已经没有系统类型信息了，仅仅返回了一个403错误。

Apache2-404-Modify