预览模式: 普通 | 列表

Internet Explorer 7 针对网页呈现的改进

Internet Explorer 7包含了许多有关于层叠样式表(CSS)解析与呈现的改进。这些改进意在提高Internet Explorer解释层叠样式表的一致性,以达到W3C的推荐的标准,同时为开发者提供一个可以依赖的功能集合。

Internet Explorer 7中的层叠样式表兼容性

http://go.microsoft.com/?linkid=5994380">http://go.microsoft.com/?linkid=5994380

Internet Explorer 7包含了许多有关于层叠样式表(CSS)解析与呈现的改进。这些改进意在提高Internet Explorer解释层叠样式表的一致性,以达到W3C的推荐的标准,同时为开发者提供一个可以依赖的功能集合。

Internet Explorer 7中HTTPS安全性的改进

http://go.microsoft.com/?linkid=5994381">http://go.microsoft.com/?linkid=5994381 HTTPS使用加密来保护您的网络传输,以避免网络上的其他人进行窃听或者篡改.HTTPS使用安全套接字层(SSL)或者传输层安全(TLS)协议来保护数据。

SSL,TLS以及ActiveX:IE7如何在安全性和兼容性方面找到平衡点

http://go.microsoft.com/?linkid=5994379">http://go.microsoft.com/?linkid=5994379

帮助我们保持安全型和兼容性平衡的法则是:不要影响已经存在的站点,除非需要为了保护最终用户而改变IE。当我们要求网络开发人员和服务器管理员作出改变时,他们坦白的告诉我们什么可以改变,什么不可以。今天,我们要通过一些例子来看看这些法则是如何在IE7中体现的。

分类:网络开发 | 固定链接 | 评论: 0 | 引用: 0 | 查看次数: 40938

Win2003集群简介

简介

  集群服务在企业组织部署关键业务、电子商务与商务流程应用起到了日益重要的作用。

  集群是在一组计算机上运行相同的软件并虚拟成一台主机系统为客户端与应用提供服务。 计算机通过缆线物理连接并通过集群软件实现程序上的连接,可以使计算机实现单机无法实现的容错和负载均衡。

  Windows Server 2003 家族产品将提供两种类型的集群服务:

  --集群服务(MSCS) 仅用于Windows Server 2003 企业版和Datacenter版,该服务为像数据库、消息系统、文件与打印服务这些关键业务应用提供了高可用性和可扩展性。在集群中的多个服务器(节点)保持不间断的联系。如果在集群中的某一节点因出错或维护不可用时,另一节点会立刻提供服务,以实现容错。正在访问服务的用户可以继续访问,而不会察觉到服务已经由另一台服务器(节点)提供。

  Windows Server 2003的企业版和Datacenter版都可以支持最大达8个节点的集群配置。这一改变增强了部署的灵活性:尤其对于地理分散部署的集群配置而言,并且支持主机的N+I配置(N 个主动节点+ I 个备用节点)。 N+I 模型将为将来利用Windows Server 2003部署大型Microsoft Exchange Server提供非常重要的支持。

  --网络负载均衡 (NLB) 在Windows Server 2003家族的所有版本中都可用,该服务可在集群内均衡分布访问的IP流量。网络负载均衡增强了Web服务器、流媒体服务器、终端服务器等Internet服务器程序的可用性和扩展性。作为负载均衡架构并提供了控制信息管理在WMI结构之上的应用,网络负载均衡可与现存Web服务器群结构无缝集成。

  优势

http://images.21cn.com/2003-05-16/1044460A.gif" border=1>



  服务器集群特性

易于安装和配置
集群服务作为Windows Server 2003 操作系统的一个主要部分,不再是一个可选的组件。这使服务器集群节点的配置不需要安装的媒介,并允许利用集群管理工具在远程服务器上创建节点和更改服务器集群配置。设置服务器集群配置不再需要重启。
从服务器集群中删除一个节点就像将他从集群中退出一样简单。所有属于这个节点的集群配置信息被自动删除,且不需要重启。
在配置服务器集群节点时,配置流程会校验软件和硬件配置信息以确保在完成集群服务配置之前检测出所有已知的不兼容问题。许多配置选项都给出了默认值,可以依照最佳实践简便快捷地搭建服务器集群。在安装完成后,工作的服务器集群还可以利用服务器集群管理工具进行定制。
集群的配置架构为第三方软件供应商提供了开放接口。这使得应用程序可以无缝地设置服务器集群资源,并在服务器集群安装时更改配置信息。就像通过集群管理图形界面一样,服务器集群的安装还可脚本化和通过命令行进行安装。
支持更大的集群 
Windows Server 2003Datacenter版所最大支持的节点数目已从Windows 2000的4节点增加到8个节点。
Windows Server 2003企业版所最大支持的节点数目已从Windows 2000的2节点增加到8个节点。
通过增加服务器集群的节点数目,管理员在部署应用和提供容错策略时有了更多的选择以匹配商务需求和风险要求。像传统的节点与/或应用失效转移一样,大的服务器集群提供了更高的灵活性以建立多站点、地理分散的集群来提供容错能力。
集成活动目录服务 
Windows Server 2003企业版与Datacenter版的服务器集群集成了活动目录?服务。这一集成确保了“虚拟”出来的计算机对象在活动目录中注册。这使得应用程序可以使用Kerberos协议认证与委派运行于集群上的服务。这一计算机对象也提供了默认的存放位置以便支持AD的服务发布服务控制点。
64位服务
服务器集群完全支持运行64位Windows Server 2003的计算机。应用可以受益于64位 Windows Server 2003操作系统增加的内存地址,也能够受益于灾难转移所提供的高可用性。
增强的可管理性 
当服务器集群使用的存储结构支持动态卷增长,集群磁盘可利用新的内置工具“DiskPart”动态在线扩展。
简便的资源配置
很容易配置集群打印机,配置MSDTC(Microsoft Distributed Transaction Coordinator)服务也一样—只需要配置一次,配置信息就可以复制到全部节点中。
应用可以通过脚本语言例如Visual Basic? Script 与JScript?实现对集群的支持。这使得为应用编写特定的资源插件以监测与控制服务器集群更为方便。
脚本还支持资源指定属性;它允许资源脚本集群范围的配置信息,同样,也可以使用和管理其它资源。增强了对微软消息队列(MSMQ)的支持,包括对触发器的支持。它允许基于可靠的消息架构所提供的全部特性构建高可用性的应用。
网络增强
服务器集群可通过重要的网络增强获益。灾难转移增强的逻辑现在支持心跳信号完全丢失;现在在仲裁(quorum)所有权决定之前所有节点公共通讯的网络状态都会被纳入考虑。
媒介感知探测提供了更好的灾难转移保护。因为媒介感知在默认情况下是禁用的,网络角色被保持以及所有的IP地址相依存的资源保持在线。如果服务器集群足够大,且网络结构支持集群节点间的多播,多播心跳会被自动选择。如果多播因为某种原因失效,心跳通讯会转换为单播。在任意事件中,所有的心跳通讯都是经过签名和安全的。
提高存储性能
服务器集群充分发挥强大的存储容量优势。共享磁盘现在支持卷挂载点(Volume mount point)并工作在灾难转移模式下,提供灵活的文件系统名字空间。客户端缓存(CSC),又被称为脱机文件,现支持集群文件共享并允许客户端计算机在集群共享上存储缓存数据。
改进的分布式文件系统(DFS)现在包含:多个独立根(standalone root)、独立根灾难转移(independent root failover)、支持活跃/活跃配置,并允许在不同机器上的多个文件共享聚集为一个共同的名字空间。
集群服务针对存储局域网(SAN)作了优化,包含目标设备重启和存储互联需求。
共享磁盘现在可以定位于同一存储互联(storage interconnect)作为启动、页面文件和临时文件磁盘。这使得集群服务器可以有单一的或单一冗余的存储互连。注:仅当供应商配置并认可这些配置后方能生效。
改进的操作
服务器集群在操作性能上也取得了很大的改善。数据库和配置数据可以备份和恢复,而增强的节点灾难转移可以支持集群超过三个节点以上的灾难转移。组配合支持使应用程序在灾难节点激活前转移到可用的节点,提供了增强的性能和可用性。
从Windows 2000升级到Windows Server 2003家族时对集群的在线时间影响最小,因为升级时只需将集群中的一个节点脱机。集群服务账号的密码可以动态变更而无需将集群节点脱机。
资源删除可通过集群管理器或cluster.exe完成,而不需要将资源脱机。集群控制与管理、应用和集群状态信息以及集群状态更改事件可提供对WMI的支持。
易于排错和失效恢复
对服务器集群日志文件的一些改进使得诊断与排错变得更加容易。这些改进包括:集群日志;本地服务器时间戳;资源名字映射和事件日志的GUID(通用唯一标志符) 。
当chkdsk在集群磁盘中运行,chkdsk的日志将被保存,chkdsk的运行状态也会被写入集群日志。
资源工具包提供了新的诊断工具(ClusDiag)可以将集群中各节点的集群日志和事件日志对应和对比。针对磁盘失效事件,资源工具包包含了一个新工具 (ClusterRecovery)可以将磁盘资源重新组建并重建集群状态。
新的集群拓扑Metrics的可用性
Windows Server 2003 提供了传统的集群仲裁(quorum)机制,也提供了一种称为“多数节点集(Majority Node Set)”的新的仲裁资源。该仲裁资源允许服务器无需共享磁盘作为仲裁设备建立集群。利用新的仲裁机制可以建立额外的集群拓扑;例如,无共享磁盘服务器集群。多数节点集也使得创建和配置多站点、地理分散的集群更为容易。
Windows Server 2003提供了一种方法来测量一个单独的组在群集中的可靠性。 记录了足够事件信息的日志群集有用事件被添加到时间日志中,使得你能够计算群集资源组的有用性。之一特征使得管理员能够评估群集中一个单独组的有用性。
群集服务将在系统事件日志中记录组移动、在线或离线的成功或失败。另外,群集内部节点时钟偏移事件也被记录到系统事件日志中。通过查看在线和离线时间间隔(考虑交叉节点的时间偏差)对所有的群集节点的事件日志流进行分析,可以计算一个组在线和离线的对比量。
Kerberos 支持虚拟服务器
当客户端使用群集虚拟名称访问一个群集中的资源时可以使用Kerberos 身份认证方式。当使用这一特征时,就会在活动目录中创建一个虚拟对象。这将以活动目录对象的形式提供给群集通知或活动目录通知应用程序,来发布提供服务给它们的虚拟服务器的相关信息。
Multi-cast Heartbeats Between Nodes
Multi-cast heartbeats between nodes in a server cluster can reduce the amount of cluster heartbeat traffic between nodes in a larger cluster. 这将有助于减少网络和计算机中央处理器(CPU) 的使用。这一特征默认已启动。要修改配置请使用命令行工具和cluster.exe。
WMI 支持服务器群集
服务器群集提供Windows Management Instrumentation (WMI) 支持群集控制和管理函数、应用程序和群集状态信息。另外,使用WMI来查看群集状态改变事件。 应用程序也可以订阅WMI事件来显示信息如应用程序失败和重启以及节点失败。这将简化管理员对群集的监视和管理。
远程脚本宿主支持
群集资源脚本宿主简化开发群集应用程序的过程。通过提供运行时环境捕获所有的复杂事务,它允许简易创建新资源类型。Windows 脚本宿主支持以下资源:
* 资源健康监视和应用程序或服务的使用
* 实现一个新资源类型的简单进程
* 简化产生应用程序群集通知的脚本化应用程序的使用
* 运行时宿主环境
* 再利用存在的通用组件模型(COM)自动控制服务器
存储区域网络 (SAN) 引导
在新的存储区域网络技术(SAN)中,一个群集中的所有磁盘可能有相同的存储结构,可以使用一个专用的主机总线适配器(HBA)来访问它们。这一特性允许所有的磁盘 (除了启动盘、系统盘和包括页文件的磁盘以外) 都可以用作共享磁盘无论使用何种存储总线技术。这种功能可以嵌入OEMs ,IHVs和其它软件厂商的的大型解决方案中。
存储区域网络(SAN) 设备仲裁
新的存储区域网络(SAN)技术 提供了一种数据合并和简化管理的方法。它不支持总线重置,将共享一个SAN 的节点分离。这个特征修改群集仲裁机制来避免任何可能的总线重置。这种机制将在最近可选的一次总线重置之前尝试不同的选项。在底层驱动器, 例如SCSIPORT and RAIDPORT, 有执行设备仲裁,这种特征将能够决定基于拓扑和存储类型的重置选项。
群集磁盘上的加密文件系统
Windows Server 2003 在群集(共享的)磁盘上支持加密文件系统 (EFS)。这种技术用来在NTFS卷上存储加密文件。 对授权用户来说加密文件或文件夹和平常的一样使用,但其它用户不能访问。


  网络负载均衡(NLB)特性

特性
描述
网络负载均衡管理器 Windows Server 2003中的这一新工具可单点配置与管理NLB集群。NLB 管理器可用于:
* 创建新的NLB集群并自动传播机群参数与端口规则到集群中全体主机。它也可以传播主机参数到集群中特定的主机上。
* 从NLB集群中添加与删除主机。
* 自动增加服务器集群IP地址到TCP/IP。
* 通过连接现存主机或从文件中读取主机信息管理现存主机并保存这些信息便于以后使用。
* 配置NLB以均衡在一个网络负载均衡中的多个Web站点或应用。这包含了将所有集群IP地址添加到TCP/IP,以及控制发送到集群中特定主机上特定应用程序的流量。
* 诊断不正确配置的集群。
虚拟集群 Windows Server 2003 中的这一新特性用于:
* 为不同的集群IP地址配置不同的端口规则,而每一IP地址可对应到NLB集群中一个网站或应用程序。
* 过滤发送到集群中指定主机上指定的Web站点或应用的数据流量。
* 选择发送到集群中指定Web站点或应用的数据由集群中哪一主机处理。
多网卡(NIC)支持 Windows Server 2003将负载均衡绑定在多块NIC卡上,使用户可以:
* 在同一主机上运行多个网络负载均衡服务并分别置于完全独立的网络中。
* 在多台前端防火墙或代理服务器需要均衡负载的场景中利用NLB来为防火墙或代理服务器提供负载均衡。
双向配合 双向配合(Bi-Directional Affinity)常用于ISA代理与防火墙的集群负载均衡。NLB通常用于ISA Web发布和服务器发布环境中。Web发布不需要双向配合,而服务器发布需要。双向配合为同一主机创建多个NLB实例协力工作以确保发布服务器的回应信息 被路由到集群中适当的ISA服务器上。
IGMP协议支持 这一新特性限制了交换机-扩散。(交换机-扩散,即Switch-flooding 起因于NLB算法使得NLB每一主机都能察看集群每个接受包的地址。)
IGMP支持限制扩散仅产生到交换机连接NLB主机的端口以保护网络资源。注: IGMP支持仅在NLB配置为多播模式下才能启用。


  总结

  Windows Server 2003中的集群服务通过增强现有特性与提供重要的更新特性得到了大幅的改进。

  设置和安装更为简单和健壮。通过预先配置、远程管理和默认选择,一套简单的服务器集群可以减少重启次数,更快上线运行。
将集群服务与活动目录相集成带来了许多优势,包括:“虚拟”计算机对象、Kerberos 认证与安全以及紧密地集成其他服务发布信息到活动目录等。

  增强的网络特性提供了更好的容错性能和更多系统在线时间。支持和排错方面可以通过一个实时监测的工具帮助管理员查明错误和隐患。

  更多信息

  当Windows Server 2003的最终版本可用时,微软将在网上发布一个更详尽的Windows服务器版2003技术综述。关于这些技术文章的链接可直接浏览:
  http://www.microsoft.com/china/windowsserver
  http://www.microsoft.com/china/technet
分类:网络开发 | 固定链接 | 评论: 1 | 引用: 0 | 查看次数: 33240

PPC动态桌面

2006年过去咯。崭新的2007年也扑面而来,我对节日比较传统,比较喜欢过传统节日,所以每年圣诞,元旦都过的很平常。

昨天晚上下载了个PPC动态桌面的Today插件,嘿嘿用了感觉不错特此推荐。

安装程序不大才140k,下载(http://www.openx.cn/down.asp?downID=20&action=Url_1">http://www.openx.cn/down.asp?downID=20&action=Url_1)

把PPC与电脑同步好,就可以安装了。

安装好后可以在 Today->选项 中找到 pfaceHTML 这一项目,点进他的属性选择一张GIF图片就OK了。

Look~~~

还不错吧。

分类:杂七杂八 | 固定链接 | 评论: 1 | 引用: 0 | 查看次数: 21478

Flash动画

 

是不是很无语阿!

分类:杂七杂八 | 固定链接 | 评论: 0 | 引用: 0 | 查看次数: 27783

线程池(Thread Pooling),译自MSDN

有许多应用线程的程序在等候事件的休眠状态中消耗了大量时间,Other threads may enter a sleeping state only to be awakened periodically to poll for a change or update status information. Thread pooling enables you to use threads more efficiently by providing your application with a pool of worker threads that are managed by the system. 至少一个线程监控着线程池中排列的所有wait操作状态。当一个等候操作执行完毕,线程池中一个worker线程就会执行相应的callback函数。


  你也可以把一些不需要wait操作的工作项添加到线程池中。要请求线程池中一个线程可以处理一个工作项的话,可以调用QueueUserWorkItem function. 该函数需要一个线程被选中时需要执行的函数作为参数。排队候,就没有办法撤销一个工作了。
  Timer-queue timers and registered wait operations 同样使用线程池. 他们的回调函数被排列到线程池中,你也可以通过 BindIoCompletionCallback 函数post异步I/O操作。异步I/O完成时,就会被线程池中一个线程执行callback函数。
  线程池是在第一次调用QueueUserWorkItem or BindIoCompletionCallback时创建的,或者一个timer-queue timer or registered wait operation queues a callback function.默认情况下,线程池中可创建的线程数为500,每个线程应用默认栈大小并按默认优先级执行。
  线程池中有两种类型的worker线程: I/O and non-I/O,I/O worker线程wait时有一个alertable wait状态,排队到I/O worker threads中的工作项可看为异步过程调用 (APC).
  A non-I/O worker thread waits on I/O completion ports,使用非I/O worker threads比使用I/O worker threads更有效率些。一次,你应该尽可能的使用非I/O worker threads。 如果仍有异步I/O请求未完成, I/O及non-I/O worker threads都不会exit。两种类型的线程都可被用来发起asynchronous I/O completion requests. 然而,如果异步I/O请求完成需要花费很长时间,就应当避免放置到非I/O worker threads中。
  要使用线程池,调用的工作项及所有函数必须保证是线程池安全的.安全的函数不应该假定其执行线程是dedicated or persistent的。通常情况下应当避免使用 thread local storage ,并避免把一个需要持久稳定线程的异步调用排队,如RegNotifyChangeKeyValue 函数。然而这些函数可以利用QueueUserWorkItem 的WT_EXECUTEINPERSISTENTTHREAD选项排队为一个持久稳定的worker thread。


注意:线程池不适合于single-threaded apartment (STA) 模式。

分类:网络开发 | 固定链接 | 评论: 0 | 引用: 0 | 查看次数: 27950

Windows NT/2000服务器优化

1.初级篇:NT/2000系统本身的定制安装与相关设置
  用NT(2000)建立的WEB站点在所有的网站中占了很大一部分比例,主要因为其易用性与易管理性,使该公司不必再投入大量的金钱在服务器的管理上,这一点优于unix系统,不必请很专业的管理员,不必支付一份可以节省的高薪,呵呵,当然unix的管理员也不会失业,因为其开放源码和windows系统无与伦比的速度,使得现在几乎所有的大型服务器全部采用unix系统。但对于中小型企业来说windows已经足够,但NT的安全问题也一直比较突出,使得一些每个基于NT的网站都有一种如履薄冰的感觉,在此我给出一份安全解决方案,算是为中国的网络安全事业做出一份贡献吧 (说明:本方案主要是针对建立Web站点的NT、2000服务器安全,对于局域网内的服务器并不合适。)
  一、 定制自己的NT/2000 SERVER
  1. 版本的选择:
  WIN2000有各种语言的版本,对于我们来说,可以选择英文版或简体中文版,我强烈建议:在语言不成为障碍的情况下,请一定使用英文版。要知道,微软的产品是以Bug &Patch而著称的,中文版的Bug远远多于英文版,而补丁一般还会迟至少半个月(也就是说一般微软公布了漏洞后你的机子还会有半个月处于无保护状况)
  2. 组件的定制:
  win2000在默认情况下会安装一些常用的组件,但是正是这个默认安装是极度危险的你应该确切的知道你需要哪些服务,而且仅仅安装你确实需要的服务,根据安全原则,最少的服务+最小的权限=最大的安全。典型的WEB服务器需要的最小组件选择是:只安装IIS的Com Files,IIS Snap-In,WWW Server组件。如果你确实需要安装其他组件,请慎重,特别是:Indexing Service, FrontPage 2000 Server Extensions, Internet Service Manager (HTML)这几个危险服务。
  二、 正确安装NT/2000 SERVER
  不论是NT还是2000,硬盘分区均为NTFS分区;
  说明:
  (1) NTFS比FAT分区多了安全控制功能,可以对不同的文件夹设置不同的访问权限,安全性增强。
  (2) 建议最好一次性全部安装成NTFS分区,而不要先安装成FAT分区再转化为NTFS分区,这样做在安装了SP5和SP6的情况下会导致转化不成功,甚至系统崩溃。
  (3) 安装NTFS分区有一个潜在的危险,就是目前大多数反病毒软件没有提供对软盘启动后NTFS分区病毒的查杀,这样一旦系统中了恶性病毒而导致系统不能正常启动,后果就比较严重,因此及建议平时做好防病毒工作。
  (4)分区和逻辑盘的分配。有一些朋友为了省事,将硬盘仅仅分为一个逻辑盘,所有的软件都装在C驱上,这是很不好的,建议最少建立两个分区,一个系统分区,一个应用程序分区,这是因为,微软的IIS经常会有泄漏源码/溢出的漏洞,如果把系统和IIS放在同一个驱动器会导致系统文件的泄漏甚至入侵者远程获取ADMIN。推荐的安全配置是建立三个逻辑驱动器,第一个大于2G,用来装系统和重要的日志文件,第二个放IIS,第三个放FTP,这样无论IIS或FTP出了安全漏洞都不会直接影响到系统目录和系统文件。要知道,IIS和FTP是对外服务的,比较容易出问题。而把IIS和FTP分开主要是为了防止入侵者上传程序并从IIS中运行。
  (5)安装顺序的选择:win2000在安装中有几个顺序是一定要注意的: 首先,何时接入网络:Win2000在安装时有一个漏洞,在你输入Administrator密码后,系统就建立了ADMIN$的共享,但是并没有用你刚刚输入的密码来保护它,这种情况一直持续到你再次启动后,在此期间,任何人都可以通过ADMIN$进入你的机器;同时,只要安装一完成,各种服务就会自动运行,而这时的服务器是满身漏洞,非常容易进入的,因此,在完全安装并配置好win2000 SERVER之前,一定不要把主机接入网络。 其次,补丁的安装:补丁的安装应该在所有应用程序安装完之后,因为补丁程序往往要替换/修改某些系统文件,如果先安装补丁再安装应用程序有可能导致补丁不能起到应有的效果,例如:IIS的HotFix就要求每次更改IIS的配置都需要安装
  三、 安全配置NT/2000 SERVER
  即使正确的安装了WIN2000 SERVER,系统还是有很多的漏洞,还需要进一步进行细致地配置。
  1.端口:端口是计算机和外部网络相连的逻辑接口,也是计算机的第一道屏障,端口配置正确与否直接影响到主机的安全,一般来说,仅打开你需要使用的端口会比较安全,配置的方法是在网卡属性-TCP/IP-高级-选项-TCP/IP筛选中启用TCP/IP筛选,不过对于win2000的端口过滤来说,有一个不好的特性:只能规定开哪些端口,不能规定关闭哪些端口,这样对于需要开大量端口的用户就比较痛苦。
  2.IIS:IIS是微软的组件中漏洞最多的一个,平均两三个月就要出一个漏洞,而微软的IIS默认安装又实在不敢恭维,所以IIS的配置是我们的重点,现在大家跟着我一起来:首先,把C盘那个什么Inetpub目录彻底删掉,在D盘建一个Inetpub(要是你不放心用默认目录名也可以改一个名字,但是自己要记得)在IIS管理器中将主目录指向D:\Inetpub;其次,那个IIS安装时默认的什么scripts等虚拟目录一概删除,如果你需要什么权限的目录可以自己慢慢建,需要什么权限开什么。(特别注意写权限和执行程序的权限,没有绝对的必要千万不要给)第三,应用程序配置:在IIS管理器中删除必须之外的任何无用映射,必须指的是ASP,ASA和其他你确实需要用到的文件类型,例如你用到stml等(使用server side include),实际上90%的主机有了上面两个映射就够了,其余的映射几乎每个都有一个凄惨的故事:htw, htr, idq, ida……想知道这些故事?去查以前的漏洞列表吧。在IIS管理器中右击主机->属性->WWW服务编辑->主目录配置->应用程序映射,然后就开始一个个删吧(里面没有全选的,嘿嘿)。接着在刚刚那个窗口的应用程序调试书签内将脚本错误消息改为发送文本(除非你想ASP出错的时候用户知道你的程序/网络/数据库结构)错误文本写什么?随便你喜欢,自己看着办。点击确定退出时别忘了让虚拟站点继承你设定的属性。安装新的Service Pack后,IIS的应用程序映射应重新设置。(说明:安装新的Service Pack后,某些应用程序映射又会出现,导致出现安全漏洞。这是管理员较易忽视的一点。)
  为了对付日益增多的cgi漏洞扫描器,还有一个小技巧可以参考,在IIS中将HTTP404 Object Not Found出错页面通过URL重定向到一个定制HTM文件,可以让目前绝大多数CGI漏洞扫描器失灵。其实原因很简单,大多数CGI扫描器在编写时为了方便,都是通过查看返回页面的HTTP代码来判断漏洞是否存在的,例如,著名的IDQ漏洞一般都是通过取1.idq来检验,如果返回HTTP200,就认为是有这个漏洞,反之如果返回HTTP404就认为没有,如果你通过URL将HTTP404出错信息重定向到HTTP404.htm文件,那么所有的扫描无论存不存在漏洞都会返回HTTP200,90%的CGI扫描器会认为你什么漏洞都有,结果反而掩盖了你真正的漏洞,让入侵者茫然无处下手,不过从个人角度来说,我还是认为扎扎实实做好安全设置比这样的小技巧重要的多。
  最后,为了保险起见,你可以使用IIS的备份功能,将刚刚的设定全部备份下来,这样就可以随时恢复IIS的安全配置。还有,如果你怕IIS负荷过高导致服务器满负荷死机,也可以在性能中打开CPU限制,例如将IIS的最大CPU使用率限制在70%。
3.帐号策略:(1)帐号尽可能少,且尽可能少用来登录;
  说明:网站帐号一般只用来做系统维护,多余的帐号一个也不要,因为多一个帐号就会多一份被攻破的危险。
  (2)除过Administrator外,有必要再增加一个属于管理员组的帐号;
  说明:两个管理员组的帐号,一方面防止管理员一旦忘记一个帐号的口令还有一个备用帐号;另方面,一旦黑客攻破一个帐号并更改口令,我们还有有机会重新在短期内取得控制权。
(3)所有帐号权限需严格控制,轻易不要给帐号以特殊权限;
  (4)将Administrator重命名,改为一个不易猜的名字。其他一般帐号也应尊循这一原则。
  说明:这样可以为黑客攻击增加一层障碍。
  (5)将Guest帐号禁用,同时重命名为一个复杂的名字,增加口令,并将它从Guest组删掉;
  说明:有的黑客工具正是利用了guest 的弱点,可以将帐号从一般用户提升到管理员组。
  (6)给所有用户帐号一个复杂的口令(系统帐号出外),长度最少在8位以上,且必须同时包含字母、数字、特殊字符。同时不要使用大家熟悉的单词(如microsoft)、熟悉的键盘顺序(如qwert)、熟悉的数字(如2000)等。
  说明:口令是黑客攻击的重点,口令一旦被突破也就无任何系统安全可言了,而这往往是不少网管所忽视的地方,据我们的测试,仅字母加数字的5位口令在几分钟内就会被攻破,而所推荐的方案则要安全的多。
  (7)口令必须定期更改(建议至少两周该一次),且最好记在心里,除此以外不要在任何地方做记录;另外,如果在日志审核中发现某个帐号被连续尝试,则必须立刻更改此帐号(包括用户名和口令);
  (8)在帐号属性中设立锁定次数,比如改帐号失败登录次数超过5次即锁定改帐号。这样可以防止某些大规模的登录尝试,同时也使管理员对该帐号提高警惕。
  4.安全日志:Win2000的默认安装是不开任何安全审核的!
  那么请你到本地安全策略->审核策略中打开相应的审核,推荐的审核是:
  账户管理 成功 失败
  登录事件 成功 失败
  对象访问 失败
  策略更改 成功 失败
  特权使用 失败
  系统事件 成功 失败
  目录服务访问 失败
  账户登录事件 成功 失败
  审核项目少的缺点是万一你想看发现没有记录那就一点都没辙;审核项目太多不仅会占用系统资源而且会导致你根本没空去看,这样就失去了审核的意义。 与之相关的是:
  在账户策略->密码策略中设定:
  密码复杂性要求 启用
  密码长度最小值 6位
  强制密码历史 5次
  最长存留期 30天
  在账户策略->账户锁定策略中设定:
  账户锁定 3次错误登录
  锁定时间 20分钟
  复位锁定计数 20分钟
  同样,Terminal Service的安全日志默认也是不开的,我们可以在Terminal Service Configration(远程服务配置)-权限-高级中配置安全审核,一般来说只要记录登录、注销事件就可以了。
  5.目录和文件权限:为了控制好服务器上用户的权限,同时也为了预防以后可能的入侵和溢出,我们还必须非常小心地设置目录和文件的访问权限,NT的访问权限分为:读取、写入、读取及执行、修改、列目录、完全控制。在默认的情况下,大多数的文件夹对所有用户(Everyone这个组)是完全敞开的(Full Control),你需要根据应用的需要进行权限重设。
  在进行权限控制时,请记住以下几个原则:
  1>限是累计的:如果一个用户同时属于两个组,那么他就有了这两个组所允许的所有权限;
  2>拒绝的权限要比允许的权限高(拒绝策略会先执行)如果一个用户属于一个被拒绝访问某个资源的组,那么不管其他的权限设置给他开放了多少权限,他也一定不能访问这个资源。所以请非常小心地使用拒绝,任何一个不当的拒绝都有可能造成系统无法正常运行;
  3>文件权限比文件夹权限高;
  4>利用用户组来进行权限控制是一个成熟的系统管理员必须具有的优良习惯之一;
  5>仅给用户真正需要的权限,权限的最小化原则是安全的重要保障;
  6.只安装一种操作系统;说明:安装两种以上操作系统,会给黑客以可乘之机,利用攻击使系统重启到另外一个没有安全设置的操作系统(或者他熟悉的操作系统),进而进行破坏。
  7.安装成独立的域控制器(Stand Alone),选择工作组成员,不选择域;
  说明:主域控制器(PDC)是局域网中队多台联网机器管理的一种方式,用于网站服务器包含着安全隐患,使黑客有可能利用域方式的漏洞攻击站点服务器。
  8.将操作系统文件所在分区与WEB数据包括其他应用程序所在的分区分开,并在安装时最好不要使用系统默认的目录,如将\WINNT改为其他目录;
  说明:黑客有可能通过WEB站点的漏洞得到操作系统对操作系统某些程序的执行权限,从而造成更大的破坏。同时如果采用IIS的话你应该在其设置中删除掉所有的无用的映射,同时不要安装索引服务,远程站点管理与服务器扩展最好也不要要,然后删掉默认路径下的www,整个删,不要手软,然后再硬盘的另一个硬盘建立存放你网站的文件夹,同时一定记得打开w3c日志纪录,切记(不过本人建议采用apache 1.3.24)
  系统安装过程中一定本着最小服务原则,无用的服务一概不选择,达到系统的最小安装,多一个服务,多一份风险,呵呵,所以无用组件千万不要安装!
  9.关于补丁:在NT下,如果安装了补丁程序,以后如果要从NT光盘上安装新的Windows程序,都要重新安装一次补丁程序, 2000下不需要这样做。
  说明:
  (1) 最新的补丁程序,表示系统以前有重大漏洞,非补不可了,对于局域网内服务器可以不是最新的,但站点必须安装最新补丁,否则黑客可能会利用低版本补丁的漏洞对系统造成威胁。这是一部分管理员较易忽视的一点;
  (2) 安装NT的SP5、SP6有一个潜在威胁,就是一旦系统崩溃重装NT时,系统将不会认NTFS分区,原因是微软在这两个补丁中对NTFS做了改进。只能通过Windows 2000安装过程中认NTFS,这样会造成很多麻烦,建议同时做好数据备份工作。
  (3) 安装Service Pack前应先在测试机器上安装一次,以防因为例外原因导致机器死机,同时做好数据备份。
  尽量不安装与WEB站点服务无关的软件;
  说明:其他应用软件有可能存在黑客熟知的安全漏洞。
  10.解除NetBios与TCP/IP协议的绑定:说明:NetBois在局域网内是不可缺少的功能,在网站服务器上却成了黑客扫描工具的首选目标。方法:NT:控制面版——网络——绑定——NetBios接口——禁用 2000:控制面版——网络和拨号连接——本地网络——属性——TCP/IP——属性——高级——WINS——禁用TCP/IP上的NETBIOS
  11.删除所有的网络共享资源,在网络连接的设置中删除文件和打印共享,只留下TCP/IP协议。
  说明:NT与2000在默认情况下有不少网络共享资源,在局域网内对网络管理和网络通讯有用,在网站服务器上同样是一个特大的安全隐患。(卸载“Microsoft 网络的文件和打印机共享”。当查看“网络和拨号连接”中的任何连接属性时,将显示该选项。单击“卸载”按钮删除该组件;清除“Microsoft 网络的文件和打印机共享”复选框将不起作用。)
  方法:
  (1)NT:管理工具——服务器管理器——共享目录——停止共享;
  2000:控制面版——管理工具——计算及管理——共享文件夹———停止共享。
  但上述两种方法太麻烦,服务器每重启一次,管理员就必须停止一次。
  (2)修改注册表:
     运行Regedit,然后修改注册表在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters下增加一个键
  
  Name: AutoShareServer
  Type: REG_DWORD
  value: 0
  然后重新启动您的服务器,磁盘分区共享去掉,但IPC共享仍存在,需每次重启后手工删除。
  12.改NTFS的安全权限;说明:NTFS下所有文件默认情况下对所有人(EveryOne)为完全控制权限,这使黑客有可能使用一般用户身份对文件做增加、删除、执行等操作,建议对一般用户只给予读取权限,而只给管理员和System以完全控制权限,但这样做有可能使某些正常的脚本程序不能执行,或者某些需要写的操作不能完成,这时需要对这些文件所在的文件夹权限进行更改,建议在做更改前先在测试机器上作测试,然后慎重更改。
  13.加强数据备份;说明:这一点非常重要,站点的核心是数据,数据一旦遭到破坏后果不堪设想,而这往往是黑客们真正关心的东西;遗憾的是,不少网管在这一点上作的并不好,不是备份不完全,就是备份不及时。数据备份需要仔细计划,制定出一个策略并作了测试以后才实施,而且随着网站的更新,备份计划也需要不断地调整。
  14.只保留TCP/IP协议,删除NETBEUI、IPX/SPX协议;说明:网站需要的通讯协议只有TCP/IP,而NETBEUI是一个只能用于局域网的协议,IPX/SPX是面临淘汰的协议,放在网站上没有任何用处,反而会被某些黑客工具利用。
分类:杂七杂八 | 固定链接 | 评论: 1 | 引用: 0 | 查看次数: 53627

Web2.0创业:程序员的创业?

“vini,vidi,vici? (我来了,我看到了,我征服了) ”
—— 凯撒大帝(公元前44年被刺死)

  上面这句话应当很符合当下正在激情澎湃中的创业团队的心境。今天我知道,说这句话的人当年何等意气风发,最后却并没有好死。似乎大多数打着Web2.0旗号的创业团队都是技术人员组成,我也是技术出身,所以觉得特别需要讨论一下由技术人员为主的创业团队的问题。

  A 无知者无畏,但可悲

  对于一个技术团队,典型的启动场景是这样:看到某个很火的网站,然后几个人一看就知道所有的技术应当如何来做(当然我们知道1万用户和1千万用户的系统作同样的事情的方式完全不同),于是就写了几个页面,觉得“我们也可以做!”。再然后,喝酒,上路……

  哥几个且慢,听我说一句。第一个问题就是:你运作(不是编码)过网站么?你知道需要哪些人、哪些资源才可以运作一个网站么?(如果你回答只需要找几个编辑云云,就无望了)这些事情你都没有做过,也没很好的去打听去学习去思考,就确定你可以搞定?13亿人有这雄心世界上早就只有一个国家了!

  如果还不知道你会面对什么,你需要解决什么问题,就去弄明白,成败不在这几天几周功夫。所有过来人都会告诉你,运作网站、创业需要如此如此多的资源以及考虑,技术只是小小的一块。那么在你上马之时,除了技术你还有什么?缺乏大部分的东西。

  B 切不可技术主导

  很自然,程序员来做必然技术主导。即使团队中有其他人,他们和他们的意见也会被边缘化(后面说这个问题)。如果我们要解决的问题是一个有确定需求的东西,目标只是技术上实现此系统,则这种方式绝无问题,甚至很专业。然而我们的目标是要设计(需求是不确定的并且会变化)一个东西,并且要运作他(不是运行它,非技术概念),就必须换一种思路和角度来考虑问题。特别是领导人,必须超脱于技术思维之上,否则最后的结果必然是“程序员们认为最好的东西”。

  C 思路的困顿,细节的羁绊

  我所常说的至上的细节主义,乃是对于设计的细节,而不是实现的细节,用任何方式实现所需要的细节效果即可,除了程序员不会有人关心实现细节。

  程序员可能就某个具体细节和实现方式认真地讨论半天并且重构你的系统,但是对于用户来说,这种修正对于使用没有任何值得一提的改善,价值几乎为0。所以不值得做这件事情,不过程序员不能接受不完美的解决方案,所以还是花了许多时间做一件没有意义的事情。

  程序员会拘泥于很多细节,本身不是坏事,但是当和用户关注的细节所错开时就麻烦了:你在做无用的改进,用户仍然在抱怨。当整个团队的思考重心都在技术上时,决策的偏向性会很明显,而且自己是无法察觉的。只有市场才会最终告诉你错了。

  D 无为才可无不为

  这个命题大了,本来与程序员无关,但是在程序员团队中特别严重。试问,倘若你是这个程序员团队的老大,你会去code么?你说会的,硅谷的所有酷公司的CEO都是亲自编码的,至少在起步阶段。

  第一,老大亲自编码并非成功必要条件,更不是充分条件。有点花絮性质;第二,那帮子家伙可是在做完了老大该做的事情后才去code的,要不然混不到今天。

  试问老大整天在code,谁去思考战略问题?谁去联络人脉和资源?这里无为的意思在于两层:第一层,你必须腾出时间和精力,才可以去思考,才可以去发现被忽视的问题,而这个不是非常重要,是“相当”的重要;第二层,你作为老大,去作具体的事情,作的不好没人怪你,做的决定没人提出异议……你有没有觉得味儿不对?

  那么,如何由技术人员成长为合格的老大?我不知道(不然可没功夫在这里扯淡,自嘲),只能给出几条参考的原则:

  1) 你不可以是技术领头人

  程序员通常会由资历最老、技术最好的人来当领导人,但是好像武林门派的掌门人未必是武功最高的吧,那种最牛鼻的,一般都隐藏在幕后,他们不适合作老大。

  我还不能透彻理解无为,但是值得大家去思考,因为我们都是中国人,这种文化硅谷是没有的。

  2) 提出要求和问题、引导解决,结论不可以由你给出

  刚才也提到了,你做错了没人可以批评,你说的一般没人反对,但是很多事情,你不能了解所有的信息(因为你不具体负责那块工作)但是你代替那个做事的人作出了具体决定,那么就有错误的可能。让每个人在各自的层面、各自的领域去思考去决定,你来管理所有的人才是正确的。你要做的就是看着整个军团的运作,思考还有什么没有想到的,指导某一块的改进,全都是隐性工作,所以不做也无所谓,所以总是被很多人忽视,所以失败者一定很多。

  3) 平衡团队中的小团队

  稍微有点见识的,一定会拉几个非技术的人入伙。但是更进一步的,你必须思考他们的定位。第一,老大也许不自觉的还是技术思维,而与他们讲不同的语言;第二,本来老大的亲信就是那群技术员。所以他们是孤立的边缘化的。但是在更高的角度看,技术应当是一小块,最为重要的是策划和运作。

  祝天下英雄早日功成名就!希望明年Donews英雄大会上多出几个真正的英雄,而且不是那种只能风光几年的小角色。

 

转:http://job.csdn.net/n/20060320/88407.html

 

文章写的不错,本人体会满深的,技术就是要专研进取,设计就是要不断创新。

只有专注才能成就,毕竟人的精力总是有限的。

 

分类:杂七杂八 | 固定链接 | 评论: 2 | 引用: 0 | 查看次数: 38993

英国科学权威杂志:上网成瘾 8大病态

《时代》周刊公布2006年的风云人物是“你”(You),全世界每一人都可以通过互联网,成为主角──主导传媒,影响全世界,但《时代》只是说对了一半,却没有提及经常上网会引发的心瘾和病态。据苹果日报报导,英国科学权威杂志《新科学家》(New Scientist)列出八种由互联网引发的心瘾和病态,如果出现以上“病征”,就代表你“上瘾”已深,该醒醒了!
   
     自大浏览(Ego Surfing)

    如果你经常在雅虎或Google等搜寻器上输入自己的姓名,按键搜索,就是“自大浏览”。在网上搜寻自己姓名其实没有什么大不了,但经常这样做却是要满足虚荣心,从而衍生出自大或自卑感,则属于心理不健康。
    不少“自大浏览者”发现自己“大名”出现在网上,甚至排列在较前的搜寻结果位置,会沾沾自喜;如果发现同名同姓者,成就或搜寻位置高过自己,心就不是味儿。此类“自大浏览者”全球比比皆是,1997年成立的“自大浏览者”专用网站Ego Surf,每月就有200万人登入。

    博客裸跑(Blog Streaking)

    把自己私隐公诸于世,那怕是最羞于齿的东西,在网上也可以公开展示,《新科学家》称这种行为“博客裸跑”。博客中,网客多用日记或散文形式,将生活中的点滴展示在网上,此举原本无伤大雅,但在一些征友网站中,部份“热切”渴望交友的网客,不惜袒胸露乳,公布自己三围数字等隐私。
   
    Google窥探(Google Stalking)

    利用搜寻器Google,查阅一些早已失去联络的故友旧爱,这情况也适用于明星,追星者希望搜寻出偶像们的联络方法,甚至住址,故称之为“Google窥探”。
    “Google窥探”出于刺探人家底细的需要,对象可能是同行竞争对手,或者情敌,起初是基于知己知彼的需要,但久而久之,对一些无关痛痒人士也要进行“起底”,反映窥探心理愈来愈强,已到了一发不可收拾地步。
   
    狂热BlackBerry迷(Crackberry)

    现代人重视资讯和讲求速度,一部BlackBerry在手,不出户可知天下事,但用得多却会上瘾。《新科学家》贴切地形容这些狂热 BlackBerry迷,指他们“即使出席至亲葬礼,也埋首用BlackBerry,不能自拔”,正是BlackBerry上瘾者最佳写照。英国有研究指出,约1/3的BlackBerry用户会出现长期失眠、精神不振和腰酸骨痛,这就是用上瘾的后遗症。
   
    下载歌曲狂(Cheesepodder)

    指下载歌曲成瘾的人。苹果电脑(Apple)推出数码音乐播放机iPod和音乐下载网站iTunes,让网民从iTunes下载一首歌只需79便士(约港币12元),既方便又省钱,不少人从此下载成瘾。
   
    偷看他人相片(Photolurking)

    网上素未谋面者数以亿计,很多人在网上有自己的相簿,存放毕业相、结婚相或者旅行相,如果你会打开这些陌生人的相簿,浏览一番,你就拥有偷看相片的心瘾。有人甚至为了一窥别人相簿,不惜花尽心思破解别人的密码。例如Yahoo旗下网站Flickr,就是专门用来搜寻陌生人相片,部份网民更废寝忘餐搜寻。
   
    维基百科狂(Wikipediholism)

    指那些过度沉迷编写维基百科的人。《新科学家》指出,加拿大科学仪器销售员德克林(BryanDerksen)每日花两小时编写维基百科,至今已写了7万多篇文章,他认为这是建立人类知识宝库的浩大工程,充满意义。
   
    上网自诊狂(Cyberchondriac)

    泛指在网上寻找健康和病痛的参考资料。网上资讯浩瀚如海,互相贯连,无限引申,例如查阅头痛和出红疹的根源,互联网可以连结到癌症,所以尽信网上资讯而不求医的人士,可能会被一些假资讯误导,导致惶恐终日,小病都会变大病。如果网民太过信任互联网,根据网上资料开出药方,自诊自疗,还可能出现误诊,导致治疗失当,病情恶化。

分类:杂七杂八 | 固定链接 | 评论: 1 | 引用: 0 | 查看次数: 88828