Wordpress 绝对路径暴露怎么处理？数据库还经常吊链子

This topic created in 3258 days ago, the information mentioned may be changed or developed.

用工具扫了下别人的，输出如下：

<html>
<head><title>403 Forbidden</title></head>
<body bgcolor="white">
<center><h1>403 Forbidden</h1></center>
<hr><center>nginx</center>
</body>
</html>
<!-- a padding to disable MSIE and Chrome friendly error page -->
<!-- a padding to disable MSIE and Chrome friendly error page -->
<!-- a padding to disable MSIE and Chrome friendly error page -->
<!-- a padding to disable MSIE and Chrome friendly error page -->
<!-- a padding to disable MSIE and Chrome friendly error page -->
<!-- a padding to disable MSIE and Chrome friendly error page -->

已经检测完毕

然后扫描了下自己的，就密密麻麻出来一堆。看上面的日志应该是通过 nginx 来设置？网上搜了几个选项似乎没起作用

主机环境：LNMP

另外，主机用的 1g 内存 ecs （最低配），数据库动不动就失联，日志提示内存不足，装了 memcached，innodbbuffer 之前默认是 128，修改成 32 好了几天又不行了——没流量的新站，自己把自己玩挂啦。

xshell 重启数据库还起不来，得重启服务器

31 replies • 2017-07-09 16:12:29 +08:00

UnisandK

Jul 7, 2017

1G 内存你还用 memcached

akira

Jul 7, 2017

之前在低配服务器上面装 wp 有遇到同样的情况，检查后发现是 wp 默认有个定时任务，但是那个的 sql 写的超级烂，要自己处理下才行。

至于防止直接访问特定目录，那个在其他目录做下禁止访问就好了呀

zwillhill

Jul 7, 2017

@UnisandK 不懂啊，网上说能减缓数据库压力就装了

zwillhill

Jul 7, 2017

@akira 直接访问都是访问不到的。但是工具能扫出来。猜测得是用户分组啊、分配权限什么的

DoraJDJ

Jul 7, 2017

@zwillhill 内存不足的情况下用这种使用内存的缓存系统搞不好会造成负效果，最好了解服务器的实际情况再考虑用哪种缓存，甚至完全不用。

zwillhill

Jul 7, 2017

@DoraJDJ 就是跑 wordpress，修改主题或者插件时自己就挂了——主题也不是 the 7 那种复杂的。

lun10439547

Jul 7, 2017 via iPhone

网站静态化，利用反代，插件的效果差的要死！

ivmm

Jul 7, 2017

AD 一波 WP 优化教程： https://www.mf8.biz/the-guide-for-wordpress-ubuntu/ 还请指正

msg7086

Jul 7, 2017

innodb 环境下记得看自己有没有开 swap。

zwillhill

Jul 8, 2017

@msg7086 不知该开吗？之前试着弄了 1g swap，没配置好又删掉了

msg7086

Jul 8, 2017

@zwillhill 要开的，否则进程的提交请求会不足，可能会被内核杀掉。

snnn

Jul 8, 2017 via Android

@msg7086 对啊，所以要先看为什么内存不足，哪里配错了
而不是盲目靠 swap 解决问题

GG668v26Fd55CP5W

Jul 8, 2017 via iPhone

开个 w3tc 或者 wp supercache 插件，PHP 模式就够用，能极大减少数据库压力。

msg7086

Jul 8, 2017

@snnn 内存不足并不一定是因为配错了。
innodb 不吃内存而吃内存提交，这是一个广泛存在的问题，需要靠开 swap 增加内存提交总量解决。
楼主说的日志里已经有内存不足的提示，并且服务起不来，很可能是内存提交炸裂，增加 swap 或者增加内存都是最直接的尝试方法，何来盲目一说。

现代的软件就是会比以前的吃更多的内存，要不然我们就得全听比尔盖子的，用 640KB 内存去了。

gdtv

Jul 8, 2017

用什么工具扫的？我也想扫下我自己的。

zwillhill

Jul 8, 2017

@falcon05 wp supercache 一直都有装，不过刚才检查了下提示页面不相符，装 memcached 之前都正常
@msg7086 感谢热心回复！回头试试
@gdtv 关键字就在标题上

zwillhill

Jul 8, 2017

@ivmm 网站速度不错，请问目录怎么设置？扫描器显示
```
<html>
<head><title>404 Not Found</title></head>
<body bgcolor="white">
<center><h1>404 Not Found</h1></center>
<hr><center>nginx</center>
</body>
</html>






```

ivmm

Jul 8, 2017

@zwillhill

目录怎么设置，没 get 到意思

snnn

Jul 8, 2017 via Android

@msg7086 拿 swap 跑数据库你也是个人才

zwillhill

Jul 8, 2017

@ivmm 网站目录是不是需要设置不同用户什么的，我的网站扫描器扫出来就一堆路径，你这个和主贴里差不多。
@snnn 说个有效建议呗

ivmm

Jul 8, 2017

@zwillhill 是不是目录都可以查看到服务器的 / 目录？如果是的话，你需要设置 PHP 的放跨站

@snnn 这不是 LZ 只有 1G 内存么

@zwillhill 提高内存是最好的方法，然后将内容能静态化的全部静态化，不能静态化的就缓存到内存，尽量不要有 SQL 查询，一般首页要做到 0 SQL 查询。博客这种东西要优化，就是尽量不要有 SQL 查询

snnn

Jul 8, 2017

@zwillhill

这是我的 mysql 配置：

[mysql]
default-character-set=utf8

[mysqld]
innodb_buffer_pool_size=256M
max_allowed_packet=16M
skip-name-resolve=true
character-set-server=utf8

# Disabling symbolic-links is recommended to prevent assorted security risks
symbolic-links=0

# Recommended in standard MySQL setup
sql_mode=NO_ENGINE_SUBSTITUTION,STRICT_TRANS_TABLES

[mysqld_safe]
log-error=/var/log/mysql/err.log
pid-file=/var/run/mysqld/mysqld.pid

另外，减少最大并发连接数，减少每个 connection 的 buffer size，也能进一步控制内存消耗。

你可以认为总的内存需求大约等于 innodb_buffer_pool_size + per_connection_buffer_size * max_connection_count

千万别网上随便找个 conf 就贴过来，否则就等着内存爆掉吧。要精打细算。

zwillhill

Jul 8, 2017

@snnn nginx 和数据库基本都是默认的没动（ nginx 复制粘贴运行起来了，数据库倒是啥也没设置）。昨天才装了个 mysqltuner，提示了一些参考数值。看来还是得先优化数据库自身设置。

@ivmm 类似网页右键查看源代码，暴露了 wordpress 的目录结构（不是服务器）——虽然浏览器并不能访问这些目录。刚才网上查了下，nginx 可以限制 user-agent，http 方法行为，猜测你的应该是设置过的，所以扫描器返回 404，我的没设置，所以扫描器可以看到。看来 nginx 也得再加固下。
另外你所说的静态化，昨天也查过，是不是用 wp 插件生成 html 文件？一个网站是企业展示类的并不会频繁更新，html 应该没影响，一个是博客类，首页直接是文章列表——这样的也可以 html 化吗——或者说需要 html 化吗？

ivmm

Jul 8, 2017

@zwillhill

我指静态化是，什么小工具这样的东西能不用就不用，尽量用 HTML 代码表示，不要走 PHP 有 SQL 查询

然后将内容缓存到内存，而不是本地磁盘

msg7086

Jul 9, 2017

@snnn 连内核的内存管理机制都不知道就敢嘲讽别人的你才是人才。

snnn

Jul 9, 2017 via Android

@msg7086 哈哈哈哈哈哈哈哈哈哈哈我真是醉了
小朋友，有空少打打游戏，多读读书。你说的那是 windows 的内存管理方式

snnn

Jul 9, 2017 via Android

@msg7086 你上网搜搜 committed memory，看哪条结果不是关于 windows 的。

allenhu

Jul 9, 2017 via Android

目测是被 pingback 攻击了，查查吧

zwillhill

Jul 9, 2017

@allenhu 云盾显示没被攻击，不过还是把 pingback 关了。后台装了防护插件，看到 ban 掉不少试图通过不存在的用户名登录的 ip。

msg7086

Jul 9, 2017

@snnn 是是是，我们计算机系研究生院太水，让您见笑了。
请您 Block 我的账号，免得看到我们这种小朋友污了您的眼。我也会 Block 您的账号以表敬意。

也千万别访问下面关于 Linux 内核 commit memory 的说明。
https://www.kernel.org/doc/Documentation/vm/overcommit-accounting

snnn

Jul 9, 2017

@msg7086 一路走好。我都工作 10 年了，从 mysql 3.23 用到现在，犯不着跟你较劲。