Like Howlym Does

今天上去BlueHost的CEO-Matt Heaton的blog看文章,发现他居然有在台湾宣教两年的经历,还学了一口流利的国语,呵呵,看来中文的影响真的是越来越大了,说不定下次你的bluehost空间有问题,你们就可以用中文跟Matt Heaton联系了,哈哈,其实更搞笑的是,已经有人用中文在他的blog上留言了~

原文

When I was 19 years old I left home to serve as a missionary for my church for 2 years. I served as a missionary in middle and southern Taiwan. It was the single greatest experience of my life. I learned fluent Mandarin Chinese, learned a lot about the people, and most important, I learned what people were missing in their lives. I tried to help fill that void.

这几天帮一个朋友弄广交会的画册，虽然属业余水平，但也可以帮他省不少钱，但他也够黑的了，在接近完工的情况下，我其中一部电脑在无任何提示下黑屏了，从此再也不能启动……可怜他要重新找广告公司了，可怜我的电脑……

申请Gmail的邮件托管 已经有两个月了，但一直没有获得批准，虽然想着＠howlym.com的邮箱对我意义不大，但能够使用google新功能总是让人觉得兴奋，不过也好，等待让人有一种希望，没有了等待，生活将一片寂寥。

微软虽然早在去年末就推出了邮件托管，但是严重的商业倾向让人觉得很不舒服，首先一进去就是一大片广告，然后每封邮件结尾又有广告，再之后就是不能通过pop3访问，除非你用Office的Outlook登录，outlook哪来?买贝！严重不爽。gmail，还是gmail让人充满期待。

Godaddy的上传速度依然飞快，我已经把我所有喜欢的PSP的ISO文件全部上传上去了，上传2G东西花了一个晚上，真是过瘾，非常有购买godaddy空间的欲望，50G也才6块美金一个月，不过好像老婆已经严重警告再买就要开战了。想想我已经买了三个空间就算了，还是以和为贵……女人这东西永远也不能明白男人的兴趣和爱好，想想她们买化妆品什么时候手软过了，要是你敢阻拦，那简直要她们的命了，哈哈。

昨天申请的Google  Analytics今天就批下来了，不过郁闷的是找入口找了好久，最后还得在google上搜索一下才行，赶紧把地址放到blog里面先。 http://www.google.com/analytics/
这几天忙得很，即使坐下来也不想写东西，难道blog是闲人的事干？

由于已经拥有三种不同服务商的空间,速度测试当然少不了,但目前我只有联通小区宽带和ADSL两种宽带类型,如果其他朋友有相关数据,诚邀共享以馈网友.

Godaddy

BlueHost

DreamHost

本数据可能只代表某一时段的带宽反应,可能不是太过准确,但我们明显可以看出无论是哪种类型的宽带,Godaddy都表现不凡,特别其快速而稳定的上传速度,对于国内用户来讲是可以真正享受国外主机大容量的优势,但其功能单一的控制面板,无法进行ssh登陆及无法挂载多个站点的缺点确实令人感到一丝遗憾.

如果有需要的朋友请给我留言,反正留着也没用,某些原因我已经很久没有用MSN了.

对了,留言时请留现有的messenger的email在blog的E-mail那栏里就可以了,不用把email写在留言内容里,我在后台可以看到的.

昨天,由于网友桑葚提示说DreamHost的wiki上有这样一段关于CPU Minutes的话:
You will see a drop in CPU usage once these changes go into effect. Please keep in mind that this is a false reading because your scripts are running as an Apache module now, and thus are reporting under Apache’s usage rather than your username. This is intended to help you pinpoint your problem script, not to “solve” your CPU usage issues.

带着疑问,我给DreamHost的客服发了email,由于对自己的英文水平不够自信,我发出的信件将转译成中文显示,呵呵.

1.要求他把我运行于mod_php模式下的网站的cpu统计数据给我.
他们回答:Unfortunately, there’s no way to see that. mod_php runs as the apache user, and not you, so there’s no way to report that. Sorry about that.
2.乘胜追击继续发问,”那是不是mod_php模式下不会计算我的cpu时间?还是你们另有计算方式?”
他们回答:Currently, we don’t have a way to monitor CPU for mod_php. We monitor on a machine by machine basis. If we see a machine that’s causing problems, we audit it. If we determine that all the usage is mod_php, then we take steps to bring the usage down.
Hope this helps. If you need anything else, please let us know.
这样就真相大明了,除非你的程序真的有问题,不然你运行于mod_php模式下的网站将永远在其保护伞下.

另外,我昨天也发了一封信给bluehost,问他们是不是有CPU MINUTES的概念,他们居然回答说有,而且是60秒???我估计是笔误,赶紧问是每小时还是每天啊,呵呵.等回信ing…看来cpu时间限制不只是dreamhost的特权呢.

ps.
BlueHost客服回应了,原来他们所指的CPU时间是每次执行的CPU时间:
That would be 60sec at a time. If a process takes longer than 60sec then the server would terminate that process. Any process should not take longer than 60sec. We do not have a cumulative amount of CPU usage per month.

一个外国人写的关于解决CPU MINUTES的文章,推荐耐心看一看
How To Fix it When DreamHost Brings Down the CPU Usage Hammer

背景链接:DreamHost如何统计CPU时间

访问人数上来了,对服务器来说即使是WordPress也是一个重负,来吧,为你的WordPress装上WP-Cache! (本blog已经装上,感觉会不会快了?)
在DreamHost上以mod_php模式运行的wp要设置wp-content目录或wp-config.php为777,省事点的就执行$chmod 777 -R (你的Blog目录), 否则wp-cache无法运行.

对于已经架设好网站的朋友,可以这样操作 

1.Domains->Manage Domains->Edit(Web Hosting那栏)

2.在选项Web Directory: /home/username/xxx.com中, 把xxx.com(DreamHost的默认方式)改成你自己喜欢的形式,如xxx_com,目的在于不让别人猜到你的目录,如果要更安全的方式弄个”TS4ah5″或者”XxX.cOm”(*nix下目录是区分大小写的)这样的目录名也可以.

3.点击”Change fully hosted settings now!”

4.等上几分钟,待设置生效后(域名前面没有时钟图标),在你的根目录下就可以看到xxx_com的目录了.

5.通过ftp或shell,把xxx.com里面的内容拷贝到xxx_com中.

6.针对不同的程序做出不同的设置, 如果是WordPress可以不做任何修改即可生效,gallery要重新安装一下.

对于还没设站或增加站点的朋友,只要注意步骤2就可以了.

还有注意的是这样做只是提高了防止被其他用户直接”进门”的门槛,还不能消除被其他用户恶意进入的可能.因为只要他能够获取到你的目录信息就可以进入了,而据我所知,目录信息的获取并不困难,有时候php程序报错你都能够知道目录信息了.因此,从根本上解决该漏洞只有靠Dreamhost在系统级别上做设置了.不过最近Dreamhost好像也对系统进行了修补,之前可以用top和ps aux命令看到其它用户的进程,现在已经屏蔽了,希望这个漏洞能很快被补上.

网友Christnan问到了Bluehost上的安全机制如何,其实像Bluehost,WebHostingbuzz这些使用CPanel的空间安全机制都还不错,比如说在/home目录下你只能看到你自己的目录,ps进程时你只会看到用户的uid号而不是用户名,Bluehost还会自动帮你每天/每星期/每月的自动备份,还是那句话,BlueHost中规中矩,不会有太多惊喜,也不会有太多操心.

另外这两天发现DreamHost在cpu限制上是没有在系统设置死的,而是根据统计结果后才告知你,但是BlueHost居然就已经限定60分钟的CPU使用时间,我找了很多资料只知道ulimit是作为限制用户资源用的,但是否跟DreamHost的案例相似就不得而知了.希望有高人指点一二.

DreamHost: ulimit -a

core file size        (blocks, -c) 0
data seg size         (kbytes, -d) unlimited
file size             (blocks, -f) unlimited
max locked memory     (kbytes, -l) unlimited
max memory size       (kbytes, -m) unlimited
open files                    (-n) 1024
pipe size          (512 bytes, -p) 8
stack size            (kbytes, -s) unlimited
cpu time             (seconds, -t) unlimited
max user processes            (-u) unlimited
virtual memory        (kbytes, -v) unlimited

BlueHost: ulimit -a

core file size          (blocks, -c) 0
data seg size           (kbytes, -d) 204800
file size               (blocks, -f) unlimited
pending signals                 (-i) 1024
max locked memory       (kbytes, -l) 32
max memory size         (kbytes, -m) 204800
open files                      (-n) 100
pipe size            (512 bytes, -p) 8
POSIX message queues     (bytes, -q) 819200
stack size              (kbytes, -s) 10240
cpu time               (seconds, -t) 3600
max user processes              (-u) 200
virtual memory          (kbytes, -v) 2097152
file locks                      (-x) unlimited
 

关于Dreamhost的目录安全性问题,我在购买Dreamhost前就已经看过类似的文章了,但一直不以为然,觉得我的网站没有什么特别机密的东西,又从没跟人结怨,即使人家得到相关密码,也不会专门去修改我的数据.另外,大家也知道,为了不让DreamHost把网站的cpu时间算在我头上,我老早就把网站的运行模式改成mod_php4了.即便知道这样不安全,也第一时间告诉大家这样不安全,但我还是一边享受Dreamhost带来的快感,一边幸灾乐祸的笑Dreamhost傻到家了,直到今天设置我的wordpress时,才发现,其实DreamHost一点也不傻,我才是最大的傻瓜…

事情的缘由是这样的…

这两天,老婆在用她的blog时反映不能上传图片,我检查后发现是目录权限问题(无法写入),因此把blog的upload目录递归设置成777,之后发现可以正常上传图片.后来在帮blog设置google sitemaps插件时也发现同样存在写入问题,抱着没什么的观点,我偷懒的就把整个站点目录设置成777权限了.不过这时我心里已经清楚的知道为什么DreamHost强调最好用cgi模式了,因为在mod_php4模式整个站点由dhapache用户运作并依照文件权限中的”公共”权限部分对文件进行操作,如果我们的权限不放开(读/写/执行/),某些网站程序,像wordpress这么典型的程序,是无法正确的运行的.

那按mod_php4运行究竟有多不安全呢?带着这个疑问,我找回了那篇关于目录安全性的文章,并动手测试了一下,这一试着实让我吓了一跳.现在我把过程贴出来给大家看看:

$ cd /home (进入用户目录)
$ ls (列出有什么用户)
$ cd abc (进入其中一个用户目录)
$ ls
ls: .: Permission denied (禁止访问)
$ cd logs (进入该用户的logs目录)
$ ls (这样就可以知道该用户有什么网站目录了,比如说我们找到域名aaa.com)
$ cd ../aaa.com (进入上级目录中的aaa.com,这个才是放网页的目录)
$ ls
现在你猜猜看到什么了…没错,是网站的文件列表.

现在再想想我对blog做了什么设置?

对,777权限!它代表任何人都可读可写可执行该目录或文件.现在已经不再是看看文件找找密码这么简单了,只要你用mod_php4模式,并且为了让某些程序正常运行而放宽了文件权限,那么主机上任何一个用户都可以通过这样的方法改写你的网站内容…

DreamHost这样的权限漏洞无疑让DreamHost的用户必须做出以下抉择:
一,使用CGI模式提高网站安全性,继续忍受DreamHost的CPU条款,然后心惊胆战的等待DreamHost的Warning Letter.

二,使用mod_php4模式,抱着”我有正义我怕谁”的思想,时刻准备着为低级黑客及仇家的伟大事业奉献自己的网站.

三,严重鄙视DreamHost,不再使用DreamHost的空间.

路就摊在你们脚下,怎么选择是你们的自由.

附:howlym.com是放在bluehost的空间的,不用找我的来试. 另外DreamHost对于用户的操作是有记录的,不然你们怎么有机会看到resources里面的报告,所以最多看看就好了(其实最好看都不要看了),不要真的改人家的东西,不然就等着关站吧.

后记(解决办法):

是我不好,是我不对,是我年轻气盛,是我年少轻狂,没有认真分析,在写完本文后,我又对所谓的”漏洞”进行测试,发现原来只要注意一下习惯是可以避免的,因为在Fully Hosted那里是有个Web Directory的输入框,默认情况下是跟你的网站名相同的,这样的情况下所谓的”漏洞”就生效了.所以在设置的时候变更一下目录名是可以避免某些不安全因素,这样”漏洞”自然就补上了.
原来DreamHost还留个大家另外一个抉择: 让通向DreamHost的路越走越宽…

以前刚用google sitemaps的时候还不是特别清楚它的作用,用了一段时间后就不再关注它了,今天上去一看,发现它提供的关键字排名信息非常详细,而且无意中居然还给我发现一个排名第一的关键字…居然是”成人站点”…我只记得我是写过关于成人站点空间的文章,但亲爱的google,我这里可不是”成人站点”啊~~~.

附上其他排名信息:
热门搜索查询 平均最前排名
1. “howlym com” 1
2. vlog 7
3. bluehost 21
4. gmail 89
5. “成人 站” 2
6. ixwebhosting 14
7. put yourself into others shoes 9
8. podcaster 7
9. whb name 8
10. odeo 9
11. “成人 站 点” 1
12. im vlog “im tv” 7
13. microsoft mail live 邀请 14
14. office live 邀请 4
15. “成人 网站 导 行” 8
16. “购买 域名” 14
17. “centos4 2″ 下载 12
18. dreamhost 31
19. godaddy 84
20. mediamax 127

这几天新换了部75004的PS2,由于安装了比较贵的解码和防烧芯片,所以就把之前一直喜欢玩的burnout3拿出来回锅.虽然画面和内容一点也没有变,但是近两个月来,我基本上是在psp上玩这款游戏的,这次换回到大电视上重新玩这款游戏就觉得其逼真程度和流畅性是比psp好多了,自我感觉技术也好多了,甩尾甩的很帅,全程液氮加速都没有问题,哈哈.
游戏虽好玩,却留下几个后遗症:
1.无心写blog了
2.晚上睡觉一闭上眼就是游戏画面
…