php加固
这个是包含错误，明明文件存在的，是没读的权限而已，你要看看程序的上级目录有没有读权限，或者给个777刷新下试试，如果我说的没错继续追问，估计你是想把网站加固，用新账户运行此网站。
2. 目前市场上主流的云主机是用的什么软件进行控制的
针对市场上的主流云主机控制管理监控的话，可以看下面：
云帮手能够对服务器和网络设备运行状态进行监控的软件。
用免费云管软件【云帮手】，可以实时查看到CPU、内存、数据库、中间件、防火墙、磁盘、IO等等的，
云帮手这个云主机管理软件可以解决你以下需求：
1.当你管理云主机的时候，需要支持站点环境一键部署（如php、Apache等安装）。
2.支持站点管理备份；
3.支持多台云主机集中管理；
3.支持安全加固，支持风险提示；
4.支持日志分析；
5.支持故障诊断支持自动化修复；
6.支持远程登录桌面，文件传输管理；
所有功能支持免费使用。
不限制主机数量、系统、站点。
3. 网站常用的几种开发语言NET,PHP,JSP，各有什么优点缺点
ASP，全称为Active Server Pages
ASP是微软（Microsoft）所开发的一种后台脚本语言，它的语法和Visual BASIC类似，可以像SSI（Server Side Include）那样把后台脚本代码内嵌到HTML页面中。虽然ASP简单易用，但是它自身存在着许多缺陷，最重要的就是安全性问题。目前在微软的 .net 战略中新推出的ASP.net 借鉴了Java技术的优点，使用C Sharp (C#) 语言作为ASP.net的推荐语言，同时改进了以前ASP的安全性差等缺点。但是，使用ASP/ASP.net仍有一定的局限性，因为从某种角度来说它们只能在微软的 Windows NT/2000/XP + IIS的服务器平台上良好运行（虽然像ChilliSoft提供了在UNIX/Linux上运行ASP的解决方案，但是目前ASP在UNIX/Linux上的应用可以说几乎为0）。所以平台的局限性和ASP自身的安全性限制了ASP的广泛应用。
ASP在执行的时候，是由IIS调用程序引擎，解释执行嵌在HTML中的ASP代码，最终将结果和原来的HTML一同送往客户端。
PHP，全称为PHP: Hypertext Preprocessor
PHP 的全名非常有趣，它是一个巢状的缩写名称——“PHP: Hypertext Preprocessor”，打开缩写还是缩写。PHP是一种HTML 内嵌式的语言 (就像上面讲的ASP那样)。而 PHP 独特的语法混合了C，Java，Perl以及 PHP 式的新语法。它可以比 CGI 或者 Perl 更快速地执行动态网页。
PHP的源代码完全公开，在 Open Source 意识抬头的今天，它更是这方面的中流砥柱。不断地有新的函数库加入，以及不停地更新，使得 PHP 无论在 UNIX 或是 Win32 的平台上都可以有更多新的功能。它提供丰富的函数，使得在程式设计方面有着更好的资源。目前PHP的最新版本为4.1.1 ，它可以在Win32以及UNIX/Linux等几乎所有的平台上良好工作。PHP在4.0版后使用了全新的Zend引擎，其在最佳化之后的效率，比较传统 CGI 或者 ASP 等技术有了更好的表现。
平台无关性是PHP的最大优点，但是在优点的背后，还是有一些小小的缺点的。如果在PHP中不使用ODBC，而用其自带的数据库函数（这样的效率要比使用ODBC高）来连接数据库的话， 使用不同的数据库，PHP的函数名不能统一。这样，使得程序的移植变得有些麻烦。不过，作为目前应用最为广泛的一种后台语言，PHP的优点还是异常明显的。
JSP，全称为Java Server Pages / Servlet
JSP和Servlet要放在一起讲，是因为它们都是Sun公司的J2EE（Java 2 platform Enterprise Edition）应用体系中的一部分。
Servlet的形式和前面讲的CGI差不多，它是HTML代码和后台程序分开的。它们的启动原理也差不多，都是服务器接到客户端的请求后，进行应答。不同的是，CGI对每个客户请求都打开一个进程（Process），而Servlet却在响应第一个请求的时候被载入，一旦Servlet被载入，便处于已执行状态。对于以后其他用户的请求，它并不打开进程，而是打开一个线程（Thread），将结果发送给客户。由于线程与线程之间可以通过生成自己的父线程（Parent Thread）来实现资源共享，这样就减轻了服务器的负担，所以，Java Servlet可以用来做大规模的应用服务。
虽然在形式上JSP和ASP或PHP看上去很相似——都可以被内嵌在HTML代码中。但是，它的执行方式和ASP或PHP完全不同。在JSP被执行的时候，JSP文件被JSP解释器（JSP Parser）转换成Servlet代码，然后Servlet代码被Java编译器编译成 .class 字节文件，这样就由生成的Servlet来对客户端应答。所以，JSP可以看做是Servlet的脚本语言（Script Language）版。
由于JSP/Servlet都是基于Java的，所以它们也有Java语言的最大优点——平台无关性，也就是所谓的“一次编写，随处运行（WORA – Write Once, Run Anywhere）”。除了这个优点，JSP/Servlet的效率以及安全性也是相当惊人的。因此，JSP/Servlet虽然在国内目前的应用并不广泛，但是其前途不可限量。
在调试JSP代码时，如果程序出错，JSP服务器会返回出错信息，并在浏览器中显示。这时，由于JSP是先被转换成Servlet后再运行的，所以，浏览器中所显示的代码出错的行数并不是JSP源代码的行数，而是指转换后的Servlet程序代码的行数。这给调试代码带来一定困难。所以，在排除错误时，可以采取分段排除的方法（在可能出错的代码前后输出一些字符串，用字符串是否被输出来确定代码段从哪里开始出错），逐步缩小出错代码段的范围，最终确定错误代码的位置。
JSP和ASP相比较：
运行速度、运行开销、运行平台、扩展性、安全性、函数支持、厂商支持、对XML的支持等等，ASP都不是JSP的对手。COM组件的复杂性实编程实现有一定的难度。而JAVABeans和JAVA的结合却是天衣无缝的。
JSP和ASP.NET相比较：
1．相对C＃，JSP的脚本语言JAVA也是面向对象的、分布式的、解释的语言。
2．与C＃相似JAVA同样去掉了难以理解的指针等概念，取而代之的是类和对象。
3. JSP有一项全新的技术――Servlet（服务器端程序）很好的节约了服务器资源。
4．JAVABeans是针对ASP.NET的Server Control的技术。只要会JAVA， JavaBeans就很容易写出。
5．再有就是JAVA的JDBC数据库连接技术。
6．JSP对XML同样有十分广泛的支持。
1) 面向对象性:
ASP+将C#作为一种面向对象语言，在很多方面来看，C#将成为微软的与Java相似的语言。
C#另一个有趣的地方是所有对象都自动变成为COM对象。如果C#能取得很大的市场份额，那么它将给ASP+带来类似于Java的功能，并且具备更快的性能，因为它可以和Windows环境紧密集成。
C# 是ASP+开发中一个最重要的功能，微软会将C#发展成为Java的强劲对手。这也是他们.Net框架的一个重要组成部分。我认为C#是微软在编程市场上击败对手的主要工具。我期待着微软能在这个产品后面倾注全力，这样，C#可以成为许多程序员的又一种选择。C#产生的结果是将进一步加固微软和Sun产品的战线。这对用户是有利的，他们可以选择两者之一来开发新的应用。
2) 数据库连接：
ASP另一个亮点是它使用ADO对象，ODBC, OLE-DB和事务处理管理器。因此ASP Web数据库应用开发特别简单。ASP+发展了更多的功能，因为有了ADO+！ADO+带来了更强大更快速的功能。JSP和JDBC目前在易用性和性能上同ASP/ADO相比已有些落后，当新版本ASP+/ADO+出现后这样的差别会更明显。我个人希望SUN应尽快能花大力气来追赶ASP+/ADO+的组合。
3) 大型站点应用：
ASP+将对大型站点(web farms)有更好的支持。事实上，微软在这方面付出了巨大的努力。 ASP+可以让你考虑到多服务器(multiple servers)的场合，当你需要更强大的功能时，仅仅只需要增加一台服务器。整个.Net框架已经充分地提供了这个方法。ASP+提供了外部会话状态(external session state)来提供内置式web farm的支持。另外，由于请求的各组件相互间经过了充分的优化，所以速度很快。
于是ASP+现在可以在大型项目方面与JSP一样具有等同的能力。 而ASP+还有价格方面的优势，因为所有的组件将是服务器操作系统的一部分。对于JSP,你需要购买昂贵的应用服务器群来达到同样的目的。
4) ASP+还提供更多的其它方面的新特性，例如：
*内置的对象缓存和页面结果缓存。
*内置的XML支持，可用于XML数据集的简单处理。
*服务器控制提供了更充分的交互式控制。
ASP+确实对ASP进行了较大的发展。
4. 怎么加固php网站防止sqlmap
WAF（web应用防火墙）逐渐成为安全解决方案的标配之一。正因为有了它，许多公司甚至已经不在意web应用的漏洞。遗憾的是，并不是所有的waf都是不可绕过的！本文将向大家讲述，如何使用注入神器SQLMap绕过WAFs/IDSs。
5. 如何查linux的nginx是否被挂马
linux系统相对比windows安全，但是有些程序上的不安全行为。不管你是什么系统，一样也会存在危险因素，在这里，我们总结出了linux系统下的一些常见排除木马和加固系统安全性的方法。
1、改变目录和文件属性，禁止写入
find -type f -name \*.php -exec chmod 444 {} \;
find -type d -exec chmod 555 {} \;
注：当然要排除上传目录、缓存目录等；
同时最好禁止chmod函数，攻击者可通过chmod来修改文件只读属性再修改文件
2、php的危险配置
禁用一些危险的php函数，例如：
passthru,exec,system,chroot,scandir,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,
ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server,escapeshellcmd,popen,dl,
syslog,show_source
3、nginx安全方面的配置
限制一些目录执行php文件
location~^/images/.*\.(php|php5)$
{
denyall;
}
location~^/static/.*\.(php|php5)$
{
denyall;
}
location~*^/data/(attachment|avatar)/.*\.(php|php5)$
{
denyall;
}
注：这些目录的限制必须写在
location~.*\.(php|php5)$
{
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
include fcgi.conf;
}
的前面，否则限制不生效!
path_info漏洞修正：
在通用fcgi.conf顶部加入
if ($request_filename ~* (.*)\.php) {
set $php_url $1;
}
if (!-e $php_url.php) {
return 404;
}
4、linux系统下查找php的相关木马
php木马一般含有<?php eval($_POST[cmd]);?>或者<?php assert($_POST[cmd]);?>
find /data/wwwroot/* -type f -name "*.php" |xargs grep "eval(" > /root/scan.txt
另外也有上传任意文件的后门,可以用上面的方法查找所有包括"move_uploaded_file"的文件.
还有常见的一句话后门：
grep -r --include=*.php '[^a-z]eval($_POST' . > grep.txt
grep -r --include=*.php 'file_put_contents(.*$_POST\[.*\]);' . > grep.txt
把搜索结果写入文件，下载下来慢慢分析，其他特征木马、后门类似。有必要的话可对全站所有文件来一次特征查找，上传图片肯定有也捆绑的，来次大清洗。
5、查找近3天被修改过的文件：
find /data/www -mtime -3 -type f -name \*.php
注意：攻击者可能会通过touch函数来修改文件时间属性来避过这种查找，所以touch必须禁止
6、查找所有图片文件
查找所有图片文件gif,jpg.有些图片内容里被添加了php后门脚本.有些实际是一个php文件,将扩展名改成了gif了.正常查看的情况下也可以看到显示的图片内容的.这一点很难发现.
曾给客户处理过这类的木马后门的.发现在php脚本里include一个图片文件,经过查看图片文件源代码,发现竟然是php脚本.
好了。安全加固你的php环境是非常重要的运维工作，大家还有什么其他加固安全的好方法，可以拿过来分享一下。
提示：如果上面显示空白或者页面排版混乱、内容显示不完整等影响阅读的问题，请点击这儿浏览原文
返回脚本百事通首页 如果您喜欢脚本编程技术，欢迎加入QQ群：246889341，在群里认识新朋友和交流技术^_^
Linux下查找后门程序
每个进程都会有一个PID，而每一个PID都会在/proc目录下有一个相应的目录，这是Linux（当前内核2.6）系统的实现。
一般后门程序，在ps等进程查看工具里找不到，因为这些常用工具甚至系统库在系统被入侵之后基本上已经被动过手脚（网上流传着大量的rootkit。假如是内核级的木马，那么该方法就无效了）。
因为修改系统内核相对复杂（假如内核被修改过，或者是内核级的木马，就更难发现了），所以在/proc下，基本上还都可以找到木马的痕迹。
思路：
在/proc中存在的进程ID，在 ps 中查看不到（被隐藏），必有问题。
Bash Shell:
#!/bin/bash
str_pids="`ps -A | awk '{print $1}'`"
for i in /proc/[[:digit:]]*; do
if echo "$str_pids" | grep -qs `basename "$i"`; then
:
else
echo "Rootkit's PID: $(basename "$i")"
fi
done
讨论：
检查系统(Linux)是不是被黑，其复杂程度主要取决于入侵者“扫尾工作”是否做得充足。对于一次做足功课的入侵来说，要想剔除干净，将是一件分精密、痛苦的事情，通常这种情况，需要用专业的第三方的工具（有开源的，比如tripwire，比如aide）来做这件事情。
而专业的工具，部署、使用相对比较麻烦，也并非所有的管理员都能熟练使用。
实际上Linux系统本身已经提供了一套“校验”机制，在检查系统上的程序没有被修改。比如rpm包管理系统提供的 -V 功能：
rpm -Va
即可校验系统上所有的包，输出与安装时被修改过的文件及相关信息。但是rpm系统也可能被破坏了，比如被修改过。
6. php 显示cmd命令返回信息
是不是取得exec之后的结果信息？
exec('cmd_command‘,$return_array);
var_mp($return_array);
缺点是只能捕捉到最后一行字符串。
7. 网站标题、关键词和描述全部被篡改，搜索引擎点击跳转
这是网站被黑了呀，你打开首页文件，找到文件顶部title标签的部分看看有无被加密的代码，然后清除掉，然后重新上传（如果全站被黑，那就只有彻底清除了），如果清理代码过后没过多久还是被反复篡改的话,应该对网站的源码以及文件进行检查，清除掉恶意链接。如果技术不够，无法准确判断的话，可以直接找专业的网站安全公司来处理解决,国内SINE安全、绿盟、启明星辰都是比较有名的安全公司。在解决掉网站存在的问题之后，我们就需要加强网站的安全性，例如禁止根目录的写入权限等等，以此来避免网站被再次攻击！
8. linux 安全加固指的是什么
就是一种攻击和防止被攻击的手段。
Linux网络安全的大概学习内容要掌握这么多吧：网络服务：
.网络概述、 TCP/IP 基础 .Linux 下基本网络配置与管理 .Dhcp 服务器的原理、配置与管理 .DNS 服务器的原理、配置与管理 .Linux 与 Windows 互联技术 samba 服务器的配置与管理 .Unix/Linux 经典文件服务 nfs 服务器的配置与管理 .Vsftp 服务器的原理、配置与管理 .Xinetd 超级守护进程服务原理、配置与管理 .WWW 服务器原理、配置与管理
安全管理：
.本机安全 .文件系统的安全 .网络服务器的安全策（dns,dhcp,apache,vsftp,nfs 等） .Linux 网络防火墙的搭建 iptables .配置安全的透明代理服务器iptables+squid .安装配置 OpenSSH 服务器 .Linux 网络环境下的 VPN 构建 .Linux 下的网络扫描和嗅探 nmap sniffer .Linux 下的网络流量监控 cati .Linux 系统日志服务管理 syslog
会了以上的那些，估计网络安全方面就没问题了。