配置防盗链、访问控制Directory和FilesMatch

5月31日任务

课程内容：

11.25 配置防盗链
11.26 访问控制Directory
11.27 访问控制FilesMatch
扩展
几种限制ip的方法 http://ask.apelearn.com/question/6519
apache 自定义header http://ask.apelearn.com/question/830
apache的keepalive和keepalivetimeout http://ask.apelearn.com/question/556

11.25 配置防盗链

通过限制referer来实现防盗链的功能，在虚拟主机vhosts.conf配置文件增加如下内容。

<Directory /data/wwwroot/.com>
        SetEnvIfNoCase Referer "http://111.com" local_ref  //设置白名单
        SetEnvIfNoCase Referer "http://aaa.com" local_ref  //设置白名单
        #SetEnvIfNoCase Referer "^$" local_ref  //空Referer
        <FilesMatch "\.(txt|doc|mp3|zip|rar|jpg|gif|png)">
            Order Allow,Deny
            Allow from env=local_ref
        </FilesMatch>
</Directory>

保存配置文件后需要重新加载

[root@jimmylinux- ~]# /usr/local/apache2./bin/apachectl -t
Syntax OK
[root@jimmylinux- ~]# /usr/local/apache2./bin/apachectl graceful

在浏览器刷新111.com/qq.jpg 会出现以下报错，因为这是一个空Referer。

如果想不是空Referer能够正常访问，首先在猿课论坛发一个帖子。

通过帖子打开链接，这个时候同样也会是Forbidden，因为Referer是ask.apelearn.com，如果想正常访问，那么把ask.apelearn.com加入到白名单即可。

SetEnvIfNoCase Referer "http://ask.apelearn.com" local_ref

记得保存配置文件后需要重新加载

[root@jimmylinux- ~]# /usr/local/apache2./bin/apachectl -t
Syntax OK
[root@jimmylinux- ~]# /usr/local/apache2./bin/apachectl graceful

然后点击猿课论坛帖子链接http://111.com/qq.jpg 就可以正常访问了

如果想直接访问，需要把配置文件中空Referer这行前面的#删除掉，这样就可以直接访问。

SetEnvIfNoCase Referer "^$" local_ref  

保存退出重新加载配置文件，直接输入http://111.com/qq.jpg 就可以正常访问了。

一样也可以使用curl命令来测试

[root@jimmylinux- ~]# curl -x127.0.0.: .com/qq.jpg -I
HTTP/1.1  OK
Date: Thu,  May  :: GMT
Server: Apache/2.4. (Unix) PHP/7.1.
Last-Modified: Tue,  Apr  :: GMT
ETag: "6089-56a0cd2f55ac0"
Accept-Ranges: bytes
Content-Length:
Content-Type: image/jpeg

[root@jimmylinux- ~]# curl -e "http://www.qq.com/123.txt" -x127.0.0.: .com/qq.jpg -I //通过-e “http://www.qq.com”指定Referer
HTTP/1.1  Forbidden
Date: Thu,  May  :: GMT
Server: Apache/2.4. (Unix) PHP/7.1.
Content-Type: text/html; charset=iso--

[root@jimmylinux- ~]# curl -e "http://111.com/123.txt" -x127.0.0.: .com/qq.jpg -I  //111.com是本身存在的域名，使用不会报错。
HTTP/1.1  OK
Date: Thu,  May  :: GMT
Server: Apache/2.4. (Unix) PHP/7.1.
Last-Modified: Tue,  Apr  :: GMT
ETag: "6089-56a0cd2f55ac0"
Accept-Ranges: bytes
Content-Length:
Content-Type: image/jpeg

可以通过查看日志验证刚才的访问记录

[root@jimmylinux- ~]# tail /usr/local/apache2./logs/.com-access_20180531.log
192.168.52.1 - - [/May/::: +] "GET /favicon.ico HTTP/1.1"   "http://111.com/qq.jpg" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.112 Safari/537.36"
127.0.0.1 - - [/May/::: +] "HEAD HTTP://111.com/qq.jpg1 HTTP/1.1"  - "http://111.com/123.txt" "curl/7.29.0"

11.26 访问控制Directory

访问控制的背景，之前有提到用户认证的方式进行访问，那么我希望能够控制的更严格些，比如当访问内部管理，仅仅针对内部人员，外部人员一律不开放，可以做一些白名单限制，只有在白名单里面的才可以访问，其他的访问都被拒绝。

可以修改虚拟主机配置文件vhosts.conf，为了不和防盗链的配置冲突，把添加的内容放到防盗链配置的上面。

<Directory /data/wwwroot/.com/admin/>
        Order deny,allow    //这里的order是指顺利，例如order deny，allow 表示先执行deny，再执行allow。
        Deny from all
        Allow from 127.0.0.1
</Directory>

<Directory /data/wwwroot/.com>
        SetEnvIfNoCase Referer "http://111.com" local_ref
        SetEnvIfNoCase Referer "http://ask.apelearn.com" local_ref
        SetEnvIfNoCase Referer "^$" local_ref
        <FilesMatch "\.(txt|doc|mp3|zip|rar|jpg|gif|png)">
            Order Allow,Deny
            Allow from env=local_ref
        </FilesMatch>
</Directory>

在进行测试之前我们先创建指定的admin目录和目录下面的index.php文件，然后加载配置。

[root@jimmylinux- .com]# mkdir admin
[root@jimmylinux- .com]# ls
admin  admin.php  index.php  qq.jpg
[root@jimmylinux- .com]# cd admin/
[root@jimmylinux- admin]# ls
[root@jimmylinux- admin]# vi index.php
[root@jimmylinux- admin]# ls
index.php
[root@jimmylinux- admin]# cat index.php

[root@jimmylinux- admin]# /usr/local/apache2./bin/apachectl graceful

使用curl命令进行访问测试，出现状态码403说明访问被限制了。

[root@jimmylinux- .com]# curl -x127.0.0.: .com/admin/index.php -I
HTTP/1.1  OK
Date: Thu,  May  :: GMT
Server: Apache/2.4. (Unix) PHP/7.1.
X-Powered-By: PHP/7.1.
Content-Type: text/html; charset=UTF-

[root@jimmylinux- .com]# curl -x127.0.0.: .com/admin/index.php

[root@jimmylinux- .com]# curl -x192.168.52.: .com/admin/index.php -I
HTTP/1.1  Forbidden
Date: Thu,  May  :: GMT
Server: Apache/2.4. (Unix) PHP/7.1.
Content-Type: text/html; charset=iso--

[root@jimmylinux- .com]# curl -x127.0.0.: .com/admin/index.php

[root@jimmylinux- .com]# tail /usr/local/apache2./logs/.com-access_20180531.log
192.168.52.1 - - [/May/::: +] "GET /favicon.ico HTTP/1.1"   "http://111.com/qq.jpg" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.112 Safari/537.36"
127.0.0.1 - - [/May/::: +] "HEAD HTTP://111.com/qq.jpg1 HTTP/1.1"  - "http://111.com/123.txt" "curl/7.29.0"
127.0.0.1 - - [/May/::: +] "HEAD HTTP://111.com/admin/index.php HTTP/1.1"  - "-" "curl/7.29.0"
127.0.0.1 - - [/May/::: +] "GET HTTP://111.com/admin/index.php HTTP/1.1"   "-" "curl/7.29.0"
192.168.52.129 - - [/May/::: +] "HEAD HTTP://111.com/admin/index.php HTTP/1.1"  - "-" "curl/7.29.0"
127.0.0.1 - - [/May/::: +] "GET HTTP://111.com/admin/index.php HTTP/1.1"   "-" "curl/7.29.0"

11.27 访问控制FilesMatch

访问控制不仅仅可以针对目录形式，也可以去匹配文件名或者链接的形式进行限制。

例如：http://111.com/admin.php?&1=1&2=2   这样的方式

在vhosts.conf配置文件中添加 <FilesMatch  "admin.php(.*)">和</FilesMatch>条件，具体内容如下。

<Directory /data/wwwroot/.com>
        <FilesMatch  admin.php(.*)>
        Order deny,allow
        Deny from all
        Allow from 127.0.0.1
        </FilesMatch>
</Directory>

报错配置文件并重新加载，然后使用curl命令测试。

[root@jimmylinux- .com]# curl -x192.168.52.: http://111.com/admin/fjasjds -I
HTTP/1.1  Not Found
Date: Thu,  May  :: GMT
Server: Apache/2.4. (Unix) PHP/7.1.
Content-Type: text/html; charset=iso--

[root@jimmylinux- .com]# curl -x192.168.52.: 'http://111.com/admin.php?ajasjds' -I
HTTP/1.1  Forbidden
Date: Thu,  May  :: GMT
Server: Apache/2.4. (Unix) PHP/7.1.
Content-Type: text/html; charset=iso--