Dan Nanni 发布的文章

如何修复 “fatal error

Dan Nanni 发布于 2015-05-26
另请参阅: 桌面应用,
5 条评论

问题: 我尝试在 [某某 Linux 发行版] 上编译程序，但是出现下面的编译错误：
"pam_otpw.c:27:34: fatal error: security/pam_modules.h: No such file or directory"
我怎样才能修复这个错误?

缺失的头文件 'security/pam\_modules.h' 是 libpam 开发版的一部分，一个 PAM(Pluggable Authentication Modules:插入式验证模块)库。因此要修复这个错误，你需要安装 libpam 开发包，如下所示。

对于 Debian、 Ubuntu 或者 Linux Mint:

$ sudo apt-get install libpam0g-dev

对与 CentOS、 Fedora 或者 RHEL:

$ sudo yum install gcc pam-devel

现在验证缺失的头文件是否安装到了 /usr/include/security。

via: http://ask.xmodulo.com/fatal-error-security-pam-modules.html

作者：Dan Nanni 译者：ictlyh 校对：wxy

本文由 LCTT 原创翻译，Linux中国荣誉推出

使用一次性密码本通过 SSH 安全登录 Linux

Dan Nanni 发布于 2015-05-22
另请参阅: 系统运维,SSH, 登录, 验证, OTP
6 条评论

有人说，安全不是一个产品，而是一个过程（LCTT 注：安全公司 McAfee 认为，安全风险管理是一个方法论，而不是安全产品的堆叠）。虽然 SSH 协议被设计成使用加密技术来确保安全，但如果使用不当，别人还是能够破坏你的系统：比如弱密码、密钥泄露、使用过时的 SSH 客户端等，都能引发安全问题。

在考虑 SSH 认证方案时，大家普遍认为公钥认证比密码认证更安全。然而，公钥认证技术并不是为公共环境设置的，如果你在一台公用电脑上使用公钥认证登录 SSH 服务器，你的服务器已经毫无安全可言了，公用的电脑可能会记录你的公钥，或从你的内存中读取公钥。如果你不信任本地电脑，那你最好还是使用其他方式登录服务器。现在就是“一次性密码（OTP）”派上用场的时候了，就像名字所示，一次性密码只能被使用一次。这种一次性密码非常合适在不安全的环境下发挥作用，就算它被窃取，也无法再次使用。

有个生成一次性密码的方法是通过谷歌认证器，但在本文中，我要介绍的是另一种 SSH 登录方案：OTPW，它是个一次性密码登录的软件包。不像谷歌认证，OTPW 不需要依赖任何第三方库。

OTPW 是什么

OTPW 由一次性密码生成器和 PAM 认证规则组成。在 OTPW 中一次性密码由生成器事先生成，然后由用户以某种安全的方式获得（比如打印到纸上）。另一方面，这些密码会通过 Hash 加密保存在 SSH 服务器端。当用户使用一次性密码登录系统时，OTPW 的 PAM 模块认证这些密码，并且保证它们不能再次使用。

步骤1：OTPW 的安装和配置

在 Debian, Ubuntu 或 Linux Mint 发行版上

使用 apt-get 安装：

$ sudo apt-get install libpam-otpw otpw-bin

打开针对 SSH 服务的 PAM 配置文件（/etc/pam.d/sshd），注释掉下面这行（目的是禁用 PAM 的密码认证功能）：

#@include common-auth

添加下面两行（用于打开一次性密码认证功能）：

auth       required     pam_otpw.so
session    optional     pam_otpw.so

在 Fedora 或 CentOS/RHEL 发行版上

在基于 RedHat 的发行版中没有编译好的 OTPW，所以我们需要使用源代码来安装它。

首先，安装编译环境：

$ sudo yum git gcc pam-devel
$ git clone https://www.cl.cam.ac.uk/~mgk25/git/otpw
$ cd otpw

打开 Makefile 文件，编辑以“PAMLIB=”开头的那行配置：

64 位系统：

PAMLIB=/usr/lib64/security

32 位系统：

PAMLIB=/usr/lib/security

编译安装。需要注意的是安装过程会自动重启 SSH 服务一下，所以如果你是使用 SSH 连接到服务器，做好被断开连接的准备吧（LCTT 译注：也许不会被断开连接，即便被断开连接，请使用原来的方式重新连接即可，现在还没有换成一次性口令方式。）。

$ make
$ sudo make install

现在你需要更新 SELinux 策略，因为 /usr/sbin/sshd 会往你的 home 目录写数据，而 SELinux 默认是不允许这么做的。如果没有使用 SELinux 服务（LCTT 注：使用 getenforce 命令查看结果，如果是 enforcing，就是打开了 SELinux 服务），请跳过这一步。

$ sudo grep sshd /var/log/audit/audit.log | audit2allow -M mypol
$ sudo semodule -i mypol.pp

接下来打开 PAM 配置文件（/etc/pam.d/sshd），注释下面这行（为了禁用密码认证）：

#auth       substack     password-auth

添加下面两行（用于打开一次性密码认证功能）：

auth       required     pam_otpw.so
session    optional     pam_otpw.so

步骤2：配置 SSH 服务器，使用一次性密码

打开 /etc/ssh/sshd\_config 文件，设置下面三个参数。你要确保下面的参数不会重复存在，否则 SSH 服务器可能会出现异常。

UsePrivilegeSeparation yes
ChallengeResponseAuthentication yes
UsePAM yes

你还需要禁用默认的密码认证功能。另外可以选择开启公钥认证功能，那样的话你就可以在没有一次性密码的时候使用公钥进行认证。

PubkeyAuthentication yes
PasswordAuthentication no

重启 SSH 服务器。

Debian, Ubuntu 或 Linux Mint 发行版：

$ sudo service ssh restart

Fedora 或 CentOS/RHEL 7 发行版：

$ sudo systemctl restart sshd

（LCTT 译注：虽然这里重启了 sshd 服务，但是你当前的 ssh 连接应该不受影响，只是在你完成下述步骤之前，无法按照原有方式建立新的连接了。因此，保险起见，要么多开一个 ssh 连接，避免误退出当前连接；要么将重启 sshd 服务器步骤放到步骤3完成之后。）

步骤3：使用 OTPW 产生一次性密码

之前提到过，你需要事先创建一次性密码，并保存起来。使用 otpw-gen 命令创建密码：

$ cd ~
$ otpw-gen > temporary_password.txt

这个命令会让你输入密码前缀，当你以后登录的时候，你需要同时输入这个前缀以及一次性密码。密码前缀是另外一层保护，就算你的一次性密码表被泄漏，别人也无法通过暴力破解你的 SSH 密码。

设置好密码前缀后，这个命令会产生 280 个一次性密码（LCTT 译注：保存到 ~/.otpw 下），并将它们导出到一个文本文件中（如 temporary\_password.txt）。每个密码（默认是 8 个字符）由一个 3 位十进制数索引。你需要将这个密码表打印出来，并随身携带。

查看 ./.otpw 文件，它存放了一次性密码的 HASH 值。头 3 位十进制数与你随身携带的密码表的索引一一对应，在你登录 SSH 服务器的时候会被用到。

$ more ~/.otpw

OTPW1
280 3 12 8
191ai+:ENwmMqwn
218tYRZc%PIY27a
241ve8ns%NsHFmf
055W4/YCauQJkr:
102ZnJ4VWLFrk5N
2273Xww55hteJ8Y
1509d4b5=A64jBT
168FWBXY%ztm9j%
000rWUSdBYr%8UE
037NvyryzcI+YRX
122rEwA3GXvOk=z

测试一次性密码登录 SSH 服务器

使用普通的方式登录 SSH 服务器：

$ ssh user@remote_host

如果 OTPW 成功运行，你会看到一点与平时登录不同的地方：

Password 191:

现在打开你的密码表，找到索引号为 191 的密码。

023 kBvp tq/G  079 jKEw /HRM  135 oW/c /UeB  191 fOO+ PeiD  247 vAnZ EgUt

从上表可知，191 号密码是“fOO+PeiD”。你需要加上密码前缀，比如你设置的前缀是“000”，则你实际需要输入的密码是“000fOO+PeiD”。

成功登录后，你这次输入的密码自动失效。查看 ~/.otpw　文件，你会发现第一行变成“---------------”，这表示 191 号密码失效了。

OTPW1
280 3 12 8
---------------
218tYRZc%PIY27a
241ve8ns%NsHFmf
055W4/YCauQJkr:
102ZnJ4VWLFrk5N
2273Xww55hteJ8Y
1509d4b5=A64jBT
168FWBXY%ztm9j%
000rWUSdBYr%8UE
037NvyryzcI+YRX
122rEwA3GXvOk=z

总结

在这个教程中，我介绍了如何使用 OTPW 工具来设置一次性登录密码。你也许意识到了在这种双因子的认证方式中，打印一张密码表让人感觉好 low，但是这种方式是最简单的，并且不用依赖任何第三方软件。无论你用哪种方式创建一次性密码，在你需要在一个不可信任的环境登录 SSH 服务器的时候，它们都很有用。你可以就这个主题来分享你的经验和观点。

via: http://xmodulo.com/secure-ssh-login-one-time-passwords-linux.html

作者：Dan Nanni 译者：bazz2 校对：wxy

本文由 LCTT 原创翻译，Linux中国荣誉推出

Linux有问必答：nginx网络服务器上如何阻止特定用户代理（UA）

Dan Nanni 发布于 2015-05-22
另请参阅: 系统运维,Nginx, 爬虫
1 条评论

问题：我注意到有一些机器人经常访问我的nginx驱动的网站，并且进行一些攻击性的扫描，导致消耗掉了我的网络服务器的大量资源。我一直尝试着通过用户代理符串来阻挡这些机器人。我怎样才能在nginx网络服务器上阻挡掉特定的用户代理呢？

现代互联网滋生了大量各种各样的恶意机器人和网络爬虫，比如像恶意软件机器人、垃圾邮件程序或内容刮刀，这些恶意工具一直偷偷摸摸地扫描你的网站，干些诸如检测潜在网站漏洞、收获电子邮件地址，或者只是从你的网站偷取内容。大多数机器人能够通过它们的“用户代理”签名字符串来识别。

作为第一道防线，你可以尝试通过将这些机器人的用户代理字符串添加入robots.txt文件来阻止这些恶意软件机器人访问你的网站。但是，很不幸的是，该操作只针对那些“行为良好”的机器人，这些机器人被设计遵循robots.txt的规范。许多恶意软件机器人可以很容易地忽略掉robots.txt，然后随意扫描你的网站。

另一个用以阻挡特定机器人的途径，就是配置你的网络服务器，通过特定的用户代理字符串拒绝要求提供内容的请求。本文就是说明如何在nginx网络服务器上阻挡特定的用户代理。

在Nginx中将特定用户代理列入黑名单

要配置用户代理阻挡列表，请打开你的网站的nginx配置文件，找到server定义部分。该文件可能会放在不同的地方，这取决于你的nginx配置或Linux版本（如，/etc/nginx/nginx.conf,/etc/nginx/sites-enabled/<your-site>,/usr/local/nginx/conf/nginx.conf,/etc/nginx/conf.d/<your-site>）。

server {
    listen       80 default_server;
    server_name  xmodulo.com;
    root         /usr/share/nginx/html;

    ....
}

在打开该配置文件并找到 server 部分后，添加以下 if 声明到该部分内的某个地方。

server {
    listen       80 default_server;
    server_name  xmodulo.com;
    root         /usr/share/nginx/html;

    # 大小写敏感的匹配
    if ($http_user_agent ~ (Antivirx|Arian) {
        return 403;
    }

    #大小写无关的匹配
    if ($http_user_agent ~* (netcrawl|npbot|malicious)) {
        return 403;
    }

    ....
}

如你所想，这些 if 声明使用正则表达式匹配了任意不良用户字符串，并向匹配的对象返回403 HTTP状态码。 $http_user_agent是HTTP请求中的一个包含有用户代理字符串的变量。‘~’操作符针对用户代理字符串进行大小写敏感匹配，而‘~*’操作符则进行大小写无关匹配。‘|’操作符是逻辑或，因此，你可以在 if 声明中放入众多的用户代理关键字，然后将它们全部阻挡掉。

在修改配置文件后，你必须重新加载nginx以激活阻挡：

$ sudo /path/to/nginx -s reload

你可以通过使用带有 “--user-agent” 选项的 wget 测试用户代理阻挡。

$ wget --user-agent "malicious bot" http://<nginx-ip-address>

管理Nginx中的用户代理黑名单

目前为止，我已经展示了在nginx中如何阻挡一些用户代理的HTTP请求。如果你有许多不同类型的网络爬虫机器人要阻挡，又该怎么办呢？

由于用户代理黑名单会增长得很大，所以将它们放在nginx的server部分不是个好点子。取而代之的是，你可以创建一个独立的文件，在该文件中列出所有被阻挡的用户代理。例如，让我们创建/etc/nginx/useragent.rules，并定义以下面的格式定义所有被阻挡的用户代理的图谱。

$ sudo vi /etc/nginx/useragent.rules

map $http_user_agent $badagent {
        default         0;
        ~*malicious     1;
        ~*backdoor      1;
        ~*netcrawler    1;
        ~Antivirx       1;
        ~Arian          1;
        ~webbandit      1;
}

与先前的配置类似，‘~*’将匹配以大小写不敏感的方式匹配关键字，而‘~’将使用大小写敏感的正则表达式匹配关键字。“default 0”行所表达的意思是，任何其它文件中未被列出的用户代理将被允许。

接下来，打开你的网站的nginx配置文件，找到里面包含 http 的部分，然后添加以下行到 http 部分某个位置。

http {
    .....
    include /etc/nginx/useragent.rules
}

注意，该 include 声明必须出现在 server 部分之前（这就是为什么我们将它添加到了 http 部分里）。

现在，打开nginx配置定义你的服务器的部分，添加以下 if 声明：

server {
    ....

    if ($badagent) {
        return 403;
    }

    ....
}

最后，重新加载nginx。

$ sudo /path/to/nginx -s reload

现在，任何包含有/etc/nginx/useragent.rules中列出的关键字的用户代理将被nginx自动禁止。

via: http://ask.xmodulo.com/block-specific-user-agents-nginx-web-server.html

作者：Dan Nanni 译者：GOLinux 校对：wxy

本文由 LCTT 原创翻译，Linux中国荣誉推出

用腻了 wget 或 curl，有什么更好的替代品吗？

Dan Nanni 发布于 2015-05-21
另请参阅: 技术,wget, cURL, HTTPie
评论

如果你经常需要通过终端以非交互模式访问网络服务器（例如，从网络上下载文件，或者是测试 RESTful 网络服务接口），可能你会选择的工具是 wget 或 curl。通过大量的命令行选项，这两种工具都可以处理很多非交互网络访问的情况（比如这里、这里，还有这里）。然而，即使像这些一样的强大的工具，你也只能发挥你所了解的那些选项的功能。除非你很精通那些繁冗的语法细节，这些工具对于你来说只不过是简单的网络下载器而已。

就像其宣传的那样，“给人用 curl 类工具”，HTTPie 设计用来增强 wget 和 curl 的可用性。它的主要目标是使通过命令行与网络服务器进行交互的过程变得尽可能的人性化。为此，HTTPie 支持具有表现力、但又很简单很直观的语法。它以彩色模式显示响应，并且还有一些不错的优点，比如对 JSON 的良好支持，和持久性会话用以作业流程化。

我知道很多人对把像 wget 和 curl 这样的无处不在的、可用的、完美的工具换成完全没听说过的软件心存疑虑。这种观点是好的，特别是如果你是一个系统管理员、要处理很多不同的硬件的话。然而，对于开发者和终端用户来说，重要的是效率。如果我发现了一个工具的用户更佳替代品，那么我认为采用易于使用的版本来节省宝贵的时间是毫无疑问的。没有必要对替换掉的工具保持信仰忠诚。毕竟，对于 Linux 来说，最好的事情就是可以选择。

在这篇文章中，让我们来了解并展示一下我所说的 HTTPie，一个用户友好的 wget 和 curl 的替代。

在 Linux 上安装 HTTPie

HTTPie 是用 Python 写的，所以你可以在几乎所有地方（Linux，MacOSX，Windows）安装它。而且，在大多数的 Linux 发行版中都有编译好的安装包。

Debian，Ubuntu 或者 Linux Mint：

$ sudo apt-get install httpie

Fedora：

$ sudo yum install httpie

CentOS/RHEL：

首先，启用EPEL 仓库，然后运行：

$ sudo yum install httpie

对于任何 Linux 发行版，另一个安装方法时使用pip。

$ sudo pip install --upgrade httpie

HTTPie 的例子

当你安装完 HTTPie 后，你可以通过输入 http 命令来调用它。在这篇文章的剩余部分，我会展示几个有用的 http 命令的例子。

例1：定制头部

你可以使用 <header:value> 的格式来定制头部。例如，我们发送一个 HTTP GET 请求到 www.test.com ，使用定制用户代理（user-agent）和来源（referer），还有定制头部（比如 MyParam）。

$ http www.test.com User-Agent:Xmodulo/1.0 Referer:http://xmodulo.com MyParam:Foo

注意到当使用 HTTP GET 方法时，就无需明确指定 HTTP 方法。

这个 HTTP 请求看起来如下：

GET / HTTP/1.1
Host: www.test.com
Accept: */*
Referer: http://xmodulo.com
Accept-Encoding: gzip, deflate, compress
MyParam: Foo
User-Agent: Xmodulo/1.0

例2：下载文件

你可以把 http 作为文件下载器来使用。你需要像下面一样把输出重定向到文件。

$ http www.test.com/my_file.zip > my_file.zip

或者：

$ http --download www.test.com/my_file.zip

例3：定制 HTTP 方法

除了默认的 GET 方法，你还可以使用其他方法（比如 PUT，POST，HEAD）。例如，发送一个 HTTP PUT 请求：

$ http PUT www.test.com name='Dan Nanni' [email protected]

例4：提交表单

使用 http 命令提交表单很容易，如下：

$ http -f POST www.test.com name='Dan Nanni' comment='Hi there'

'-f' 选项使 http 命令序列化数据字段，并将 'Content-Type' 设置为 "application/x-www-form-urlencoded; charset=utf-8"。

这个 HTTP POST 请求看起来如下：

POST / HTTP/1.1
Host: www.test.com
Content-Length: 31
Content-Type: application/x-www-form-urlencoded; charset=utf-8
Accept-Encoding: gzip, deflate, compress
Accept: */*
User-Agent: HTTPie/0.8.0

name=Dan+Nanni&comment=Hi+there

例５：JSON 支持

HTTPie 内置 JSON（一种日渐普及的数据交换格式）支持。事实上，HTTPie 默认使用的内容类型（content-type）就是 JSON。因此，当你不指定内容类型发送数据字段时，它们会自动序列化为 JSON 对象。

$ http POST www.test.com name='Dan Nanni' comment='Hi there'

这个 HTTP POST 请求看起来如下：

POST / HTTP/1.1
Host: www.test.com
Content-Length: 44
Content-Type: application/json; charset=utf-8
Accept-Encoding: gzip, deflate, compress
Accept: application/json
User-Agent: HTTPie/0.8.0

{"name": "Dan Nanni", "comment": "Hi there"}

例6：输出重定向

HTTPie 的另外一个用户友好特性是输入重定向，你可以使用缓冲数据提供 HTTP 请求内容。例如：

$ http POST api.test.com/db/lookup < my_info.json

或者：

$ echo '{"name": "Dan Nanni"}' | http POST api.test.com/db/lookup

结束语

在这篇文章中，我介绍了 HTTPie，一个 wget 和 curl 的可能替代工具。除了这里展示的几个简单的例子，你可以在其官方网站上找到 HTTPie 的很多有趣的应用。再次重复一遍，一款再强大的工具也取决于你对它的了解程度。从个人而言，我更倾向于 HTTPie，因为我在寻找一种更简洁的测试复杂网络接口的方法。

你怎么看？

via: http://xmodulo.com/wget-curl-alternative-linux.html

作者：Dan Nanni 译者：wangjiezhe 校对：wxy

本文由 LCTT 原创翻译，Linux中国荣誉推出

Linux有问必答：如何在Linux中修改环境变量PATH

Dan Nanni 发布于 2015-05-21
另请参阅: 技术,环境变量
3 条评论

提问: 当我试着运行一个程序时，它提示“command not found”。但这个程序就在/usr/local/bin下。我该如何添加/usr/local/bin到我的PATH变量下，这样我就可以不用指定路径来运行这个命令了。

在Linux中，PATH环境变量保存了一系列的目录用于用户在输入的时候搜索命令。PATH变量的值由一系列的由冒号分隔的绝对路径组成。每个用户都有特定的PATH环境变量（由系统级的PATH变量初始化）。

要检查用户的环境变量，用户模式下运行下面的命令：

$ echo $PATH
/usr/lib64/qt-3.3/bin:/bin:/usr/bin:/usr/sbin:/sbin:/home/xmodulo/bin

或者运行：

$ env | grep PATH
PATH=/usr/lib64/qt-3.3/bin:/bin:/usr/bin:/usr/sbin:/sbin:/home/xmodulo/bin

如果你的命令不存在于上面任何一个目录内，shell就会抛出一个错误信息：“command not found”。

如果你想要添加一个另外的目录（比如：/usr/local/bin）到你的PATH变量中，你可以用下面这些命令。

为特定用户修改PATH环境变量

如果你只想在当前的登录会话中临时地添加一个新的目录（比如：/usr/local/bin）给用户的默认搜索路径，你只需要输入下面的命令。

$ PATH=$PATH:/usr/local/bin

检查PATH是否已经更新：

$ echo $PATH
/usr/lib64/qt-3.3/bin:/bin:/usr/bin:/usr/sbin:/sbin:/home/xmodulo/bin:/usr/local/bin

更新后的PATH会在当前的会话一直有效。然而，更改将在新的会话中失效。

如果你想要永久更改PATH变量，用编辑器打开~/.bashrc (或者 ~/.bash\_profile)，接着在最后添加下面这行。

export PATH=$PATH:/usr/local/bin

接着运行下面这行永久激活更改：

$ source ~/.bashrc (或者 source ~/.bash_profile)

改变系统级的环境变量

如果你想要永久添加/usr/local/bin到系统级的PATH变量中，像下面这样编辑/etc/profile。

$ sudo vi /etc/profile

export PATH=$PATH:/usr/local/bin

你重新登录后，更新的环境变量就会生效了。

via: http://ask.xmodulo.com/change-path-environment-variable-linux.html

作者：Dan Nanni 译者：geekpi 校对：wxy

本文由 LCTT 原创翻译，Linux中国荣誉推出

Linux有问必答：如何在Ubuntu中升级Docker

Dan Nanni 发布于 2015-05-20
另请参阅: 系统运维,Docker
评论

提问: 我使用了Ubuntu的标准仓库安装了Docker。然而，默认安装的Docker不能满足我另外一个依赖Docker程序的版本需要。我该如何在Ubuntu中升级到Docker的最新版本？

Docker第一次在2013年发布，它快速地演变成了一个针对分布式程序的开发平台。为了满足工业期望，Docker正在紧密地开发并持续地带来新特性的升级。这样Ubuntu发行版中的Docker版本可能很快就会过时。比如， Ubuntu 14.10 Utopic 中的Docker版本是1.2.0，然而最新的Docker版本是1.6.0（截止至本文发布时）。

对于那些想要跟随Docker的最新开发的人而言，Canonical为Docker维护了一个独立的PPA。使用这个PPA仓库，你可以很容易地在Ubuntu上升级到最新的Docker版本。

下面是如何设置Docker的PPA和升级Docker。

$ sudo add-apt-repository ppa:docker-maint/testing
$ sudo apt-get update
$ sudo apt-get install docker.io

检查安装的Docker版本：

$ docker --version

Docker version 1.5.0-dev, build a78ce5c

via: http://ask.xmodulo.com/upgrade-docker-ubuntu.html

作者：Dan Nanni 译者：geekpi 校对：wxy

本文由 LCTT 原创翻译，Linux中国荣誉推出