下面是一位高手整理的问题精华，大家好好看看吧，收获肯定很大的!
1.如何让asp脚本以system权限运行?
修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
2.如何防止asp木马?
基于FileSystemObject组件的asp木马
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
regsvr32 scrrun.dll /u /s //删除
基于shell.application组件的asp木马
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用
regsvr32 shell32.dll /u /s //删除
3.如何加密asp文件?
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
运行screnc - l vbscript source.asp destination.asp
生成包含密文ASP脚本的新文件destination.asp
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
但无法加密中文。
4.如何从IISLockdown中提取urlscan?
iislockd.exe /q /c /t:c:\urlscan
5.如何防止Content-Location标头暴露了web服务器的内部IP地址?
执行
cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
最后需要重新启动iis
6.如何解决HTTP500内部错误?
iis http500内部错误大部分原因
主要是由于iwam账号的密码不同步造成的。
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
执行
cscript c:\inetpub\adminscripts\synciwam.vbs -v
7.如何增强iis防御SYN Flood的能力?
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
"SynAttackProtect"=dword:00000002
'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态
'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
"TcpMaxHalfOpen"=dword:00000064
'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
"TcpMaxHalfOpenRetried"=dword:00000050
'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
'微软站点安全推荐为2。
"TcpMaxConnectResponseRetransmissions"=dword:00000001
'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
"TcpMaxDataRetransmissions"=dword:00000003
'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
"TCPMaxPortsExhausted"=dword:00000005
'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
'源路由包，微软站点安全推荐为2。
"DisableIPSourceRouting"=dword:0000002
'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
"TcpTimedWaitDelay"=dword:0000001e
8.如何避免*mdb文件被下载?
安装ms发布的urlscan工具，可以从根本上解决这个问题。
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
9.如何让iis的最小ntfs权限运行?
依次做下面的工作:
a.选取整个硬盘：
system：完全控制
administrator：完全控制
(允许将来自父系的可继承性权限传播给对象)
b.\program files\common files：
everyone：读取及运行
列出文件目录
读取
(允许将来自父系的可继承性权限传播给对象)
c.\inetpub\wwwroot：
iusr_machine：读取及运行
列出文件目录
读取
(允许将来自父系的可继承性权限传播给对象)
e.\winnt\system32：
选择除inetsrv和centsrv以外的所有目录，
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
f.\winnt：
选择除了downloaded program files、help、iis temporary compressed files、
offline web pages、system32、tasks、temp、web以外的所有目录
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
g.\winnt：
everyone：读取及运行
列出文件目录
读取
(允许将来自父系的可继承性权限传播给对象)
h.\winnt\temp：（允许访问数据库并显示在asp页面上）
everyone：修改
(允许将来自父系的可继承性权限传播给对象)
10.如何隐藏iis版本?
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
iis存放IIS BANNER的所对应的dll文件如下：
WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
具体过程如下:
1.停掉iis iisreset /stop
2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件
3.修改
1.如何让asp脚本以system权限运行?
修改你asp脚本所对应的虚拟目录，把"应用程序保护"修改为"低"....
2.如何防止asp木马?
基于FileSystemObject组件的asp木马
cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用
regsvr32 scrrun.dll /u /s //删除
基于shell.application组件的asp木马
cacls %systemroot%\system32\shell32.dll /e /d guests //禁止guests使用
regsvr32 shell32.dll /u /s //删除
3.如何加密asp文件?
从微软免费下载到sce10chs.exe 直接运行即可完成安装过程。
安装完毕后，将生成screnc.exe文件，这是一个运行在DOS PROMAPT的命令工具。
运行screnc - l vbscript source.asp destination.asp
生成包含密文ASP脚本的新文件destination.asp
用记事本打开看凡是""之内的，不管是否注解，都变成不可阅读的密文了
但无法加密中文。
4.如何从IISLockdown中提取urlscan?
iislockd.exe /q /c /t:c:\urlscan
5.如何防止Content-Location标头暴露了web服务器的内部IP地址?
执行
cscript c:\inetpub\adminscripts\adsutil.vbs set w3svc/UseHostName True
最后需要重新启动iis
6.如何解决HTTP500内部错误?
iis http500内部错误大部分原因
主要是由于iwam账号的密码不同步造成的。
我们只要同步iwam_myserver账号在com+应用程序中的密码即可解决问题。
执行
cscript c:\inetpub\adminscripts\synciwam.vbs -v
7.如何增强iis防御SYN Flood的能力?
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。
"SynAttackProtect"=dword:00000002
'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态
'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
"TcpMaxHalfOpen"=dword:00000064
'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
"TcpMaxHalfOpenRetried"=dword:00000050
'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
'微软站点安全推荐为2。
"TcpMaxConnectResponseRetransmissions"=dword:00000001
'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
"TcpMaxDataRetransmissions"=dword:00000003
'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
"TCPMaxPortsExhausted"=dword:00000005
'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
'源路由包，微软站点安全推荐为2。
"DisableIPSourceRouting"=dword:0000002
'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
"TcpTimedWaitDelay"=dword:0000001e
8.如何避免*mdb文件被下载?
安装ms发布的urlscan工具，可以从根本上解决这个问题。
同时它也是一个强大的安全工具，你可以从ms的网站上获取更为详细的信息。
9.如何让iis的最小ntfs权限运行?
依次做下面的工作:
a.选取整个硬盘：
system：完全控制
administrator：完全控制
(允许将来自父系的可继承性权限传播给对象)
b.\program files\common files：
everyone：读取及运行
列出文件目录
读取
(允许将来自父系的可继承性权限传播给对象)
c.\inetpub\wwwroot：
iusr_machine：读取及运行
列出文件目录
读取
(允许将来自父系的可继承性权限传播给对象)
e.\winnt\system32：
选择除inetsrv和centsrv以外的所有目录，
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
f.\winnt：
选择除了downloaded program files、help、iis temporary compressed files、
offline web pages、system32、tasks、temp、web以外的所有目录
去除“允许将来自父系的可继承性权限传播给对象”选框，复制。
g.\winnt：
everyone：读取及运行
列出文件目录
读取
(允许将来自父系的可继承性权限传播给对象)
h.\winnt\temp：（允许访问数据库并显示在asp页面上）
everyone：修改
(允许将来自父系的可继承性权限传播给对象)
10.如何隐藏iis版本?
一个黑客可以可以轻易的telnet到你的web端口，发送get命令来获取很多信息
iis存放IIS BANNER的所对应的dll文件如下：
WEB:C:\WINNT\SYSTEM32\INETSRV\W3SVC.DLL
FTP:C:\WINNT\SYSTEM32\INETSRV\FTPSVC2.DLL
SMTP:C:\WINNT\SYSTEM32\INETSRV\SMTPSVC.DLL
你可以用16进制编辑器去修改那些dll文件的关键字，比如iis的Microsoft-IIS/5.0
具体过程如下:
1.停掉iis iisreset /stop
2.删除%SYSTEMROOT%\system32\dllcache目录下的同名文件
3.修改
代理服务squid+squidGuard的安装
[
2005/12/13 22:48 | by ipaddr ]
2005/12/13 22:48 | by ipaddr ]
参考SkyUranus的《Linux下的代理服务器设置》ipaddr整理
前言：
本文主要介绍了在linux使用squid和squidGuard配置代理服务器，以www代理服务为例介绍如何过滤有害站点和限制用户对internet
的访问。
一. 介绍
Squid是Linux下最为流行的代理服务器软件，它功能强大，支持对HTTP，FTP，Gopher，SSL和WAIS等协议的代理；设置简单，只需对
配置文件中稍稍改动就可使代理服务器运转起来。而且Squid具有页面缓存功能，它接收用户的下载申请，并自动处理所下载的数据
。也就是说，当一个用户象要下载一个主页时，它向Squid发出一个申请，要Squid替它下载，然后Squid连接所申请网站并请求该主
页，接着把该主页传给用户同时保留一个备份，当别的用户申请同样的页面时，Squid把保存的备份立即传给用户，使用户觉得速度
相当快。
squidGuard则是作为squid的辅助软件，完成过滤、重定向和访问控制的功能。它是一个自由软件，功能强，便于安装、易于配置、
而且处理速度快。功能主要包括：根据web服务器或URLs列表限制一些用户的访问；阻塞某些用户对黑名单上的web服务器和URLs的访
问；阻塞某些用户对正则表达式匹配的URLs的访问；在URL路径加强了使用域名访问而禁止用IP访问；重定向阻塞的URLs到一个智能
CGI的信息页；重定向非授权用户到一个注册页面；具有基于日期、每周、每天具体时间的访问规则；对不同用户组有不同的规则。
但是不能过滤、检查文档中的文本以及HTML中的JavaScript或Vbscript脚本语言。
二. 安装
1。安装squid：
从www.squid-cache.org下载squid-2.5.STABLE12.tar.gz存在本地/usr/local/squid/src下。
在编译Squid之前，建立一个专门运行Squid的用户和组，这里建立了名为squid的组和用户，用户目录设为/usr/local/squid
#su squid
$cd /usr/local/squid/src
$tar xvzf squid-2.5.STABLE12.tar.gz
$ cd squid-2.5.STABLE12
$./configure
$make
$make install
(默认安装到/usr/local/squid目录下)
//默认RH系统里有squid用户和组
2。安装Berkeley DB 2.x:
从http://www.sleepycat.com 下载db-2.7.7.tar.gz并存在/usr/local/squidGuard/src/目录下
$su
#cd /usr/local/squidGuard/src/
#tar xvzf db-2.7.7.tar.gz
#cd db-2.7.7
#cd build_unix
//不能在根目录直接configure，必须先进入build_unix，再../dist/configure
#../dist/configure
#make
#make install
(默认安装到/usr/local/BerkeleyDB目录下)
注意：squidＧuard不支持Berkeley DB 3.x,4.x版本
3。安装squidGuard
官方网站：http://www.squidguard.org
从http://ftp.ost.eltele.no/pub/www/proxy/squidGuard/squidGuard-1.2.0.tar.gz下载软件包并存于本
地/usr/local/squidGuard/src/
#cd /usr/local/squidGuard/src/
#tar xvzf squidGuard-1.2.0.tar.gz
#cd squidGuard-1.2.0
#./configure --prefix=/usr/local/squidGuard
#make
#make test //测试ok，即可进行下一步安装
#make install
三. 配置
1．配置squid：
修改squid的配置文件/usr/local/squid/etc/squid.conf：
http_port 8080
#squid的代理端口，使用1024以下的端口，squid必须以root身份运行，一般以3128端口运行，开了防火墙的话，注意要打开
iptables的端口限制。
http_access allow all
#允许所有的用户通过代理进行http访问
#squid启用squidGuard进行过滤和转发
#/usr/local/squid/bin/squidGuard是squidGuard的执行路径，后面-c是配置文件的路径
redirect_program /usr/local/squid/bin/squidGuard -c /usr/local/squidGuard/squidGuard.conf
#派生5个squidGuard进程
redirect_children =5
其它参数：
#cache_mem：设置代理服务使用的内存大小，一般推荐为物理内存的三分之一
cache_mem 16 m
#cache_dir：设定缓存的位置、大小。一般格式如下：
cache_dir /usr/local/squid/cache 100 16 256
#/usr/local/squid/cache代表缓存的位置；100代表缓存最大为100M；16和256代表一级和二级目录数。
#cache_effective_user：设定使用缓存的有效用户。缺省为用户nobody，如果系统中没有用户nobody，最好建一个或以非root用户
运行Squid。这里是以squid身份运行的
cache_effective_user squid
#cache_effective_group：设定使用缓存的有效用户组。缺省组为nogroup，如果系统中没有组nogroup，最好建一个组。这里是
squid组。
cache_effective_group squid
(其余参数用默认值即可！)
2．配置squidGuard:
修改squidGuard的配置文件/usr/local/squidGuard/squidGuard.conf文件：
logdir /usr/local/squidGuard/logs #日志目录定义
dbhome /usr/local/squidGuard/db #db目录定义
#目标组定义
dest ipaddr {
domainlist ipaddr/domains
urllist ipaddr/urls
expressionlist ipaddr/expressions
}
#访问规则定义
acl {
default {
pass !ipaddr all
redirect http://192.168.0.1/error
(
#也可以重定向到一个含有一些信息的cgi页面，如下：
http://192.168.0.1/cgi/blocked?clientaddr=%a&clientname=%n&clientuser=%i&clientgroup=%s&targetgroup=%t&url=%u
#也可以重定向到www.google.com
)
}
}
# vi db/ipaddr/domains
（域列表文件：主要是阻塞一些定义的站点）
co.za
sex.com
（如上，可以阻塞如hack.co.za、sex.com、www.sex.com、whatever.sex.com，但是不同于.*[^.]sex.com，不匹配ssex.com）
# vi db/ipaddr/urls
（url列表文件，主要是阻塞一些站点及其一些栏目）
qihui.com/sex
valen.sohu.com/album
(如上可阻塞http://qihui.com/sex、http://qihui.com/sex/whatever、ftp://qihui.com/sex、http://www.qihui.com/sex等)
# vi db/ipaddr/expressions
(表达式列表文件，主要是阻塞一些与表达式匹配的URL访问)
(^│[\?+=/])(.*)(girl)(.*)([\?+=/]│$)
（上面的正则表达式可以阻塞URL中包括girl站点的访问，如：www.girlzine.com、girl.huabao.net、www.huayu.net/girl、
www.universiti.com/girl等 ）
注意：squidGuard对配置文件的语法要求很严，如果配置文件语法有误，squidGuard仍能运行，但是squidGuard已进入应急模式，此
时代理服务不具有任何阻塞作用，所有通过该代理的访问都可通过，可以查看logs/squidGuard的日志文件，即可发现错误，例如：
2001-12-20 17:08:44 [2430] parse error in configfile /usr/local/squidGuard/squidGuard.conf line 8
2001-12-20 17:08:44 [2430] going into emergency mode
…….
其中配置文件第8行有误，squidGuard进入应急模式。
配置的具体说明详见http://www.squidguard.org/
---------日志的存放----------------
squidGuard的日志是检查配置是否正确的工具。如果日志里出现了going into emergency mode，说明配置不成功。
默认squidGuard的日志存放[--prefix]/squidGuard/log/squidGuard.log，我们安装时--prefix=/usr/local/squidGuard，所以，还
需要：
mkdir /usr/local/squidGuard/squidGuard
mkdir /usr/local/squidGuard/squidGuard/log
chown squid.squid mkdir /usr/local/squidGuard/squidGuard
启动后，日志存放在/usr/local/squidGuard/squidGuard/log/squidGuard.log
此外，也可以在squidGuard的./configure时指定默认的日志文件
---------日志的存放----------------
#squidGuard的更多配置的安装，在squidGuard的安装包squidGuard-1.2.0.tar.gz有详细介绍。
四. 运行：
$ chmod 777 /usr/local/squid/logs
（设置logs对所有用户为可写。这样，不特定的squid代理客户才能正常访问代理服务器，并能在logs目录、产生access.log、
cache.log等文件。）
$ /usr/local/squid/bin/squid -z
(手工建立squid的缓存目录/usr/local/squid/cache。)
(cache有时默认是/usr/local/squid/var/cache)
(设置了cache_effective_user和cache_effective_group为squid时，还需要chown squid.squid -R /usr/local/squid/cache)
#/usr/local/squid/bin/squid
(后台执行squid。如果想前台执行squid：如果你想前台执行Squid执行命令：
$/usr/local/squid/bin/squid -NCd1
该命令正式启动Squid。如果一切正常，你会看到一行输出:
Ready to serve requests )
# ps ax│grep squid
20198 ? S 0:00 /usr/local/squid/bin/squid
20200 ? S 0:27 (squid)
20310 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
20311 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
20312 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
20313 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
20314 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
（此时squidGuard也已启用，每次修改配置后squid -k reconfigure重新起用即可，要杀掉squid执行squid -k kill）
查看squidGuard日志文件：
init domainlist /usr/local/squidGuard/db/ipaddr/domains
2001-12-20 16:14:43 [2270] init domainlist /usr/local/squidGuard/db/ipaddr/domains
2001-12-20 16:14:43 [2270] init urllist /usr/local/squidGuard/db/ipaddr/urls
2001-12-20 16:14:43 [2270] init expressionlist /usr/local/squidGuard/db/porn/expressions
2001-12-20 16:14:43 [2270] squidGuard 1.1.4 started (1008836083.022)
2001-12-20 16:14:43 [2270] recalculating alarm in 917 seconds
2001-12-20 16:14:43 [2270] squidGuard ready for requests (1008836083.044)
表示squidGuard已正常启动
五. 测试：
配置客户端，然后测试代理服务：
在另一台win2k上，（以Internet Explore5.0为例）运行IE，单击"工具"，接着单击"Internet选项"，再单击"连接"选项卡，单击"
局域网设置"；在"局域网设置"窗口中，在"地址"处填上squid服务器的IP地址192.168.100.16，在"端口"处填上"8080"（修改后
squid代理使用的端口号，也就是squid.conf中的http_port，默认值为3128），确定后退出。
接下来，先把IP改成192.168.100.20，浏览一些网站，如sohu，163等，然后再试试domains和urls中定义的，如hack.co.za、qihui.com/sex，会发现主页被重定向到http://www.google.com。然后再试试浏览有关girl的网站，去不了了：（；在sohu中搜girl
也被重定向了；用IP试试（有些代理程序对ＩＰ不做限制，用ＩＰ可以绕过代理的限制访问一些禁止的站点），可惜不行！（因为
squidＧuard配置文件中使用了！in_addr，所以可以强迫用户使用域名访问而不能使用ip访问）
再下来，把IP改成192.168.100.18，然后时间改为testtime外的时间，浏览网页，试试结果，然后再将时间改为testtime内浏览网页
！
最后，把IP改成192.168.100.30，浏览网页测试。
（可以查看logs下的access.log和cache.log，看看是否代理运行正常以及访问的站点记录）
总结：
由上可见，用squid和squidＧuard建立的代理服务器，配置比较简单，而且功能强大，可以有效的限制一些用户对internet的访问并
过滤一些黑名单列出的站点（如色情站点等）。
这里只简单的介绍了关于http代理的例子，其它的应用和功能大家可以自己试试。
前言：
本文主要介绍了在linux使用squid和squidGuard配置代理服务器，以www代理服务为例介绍如何过滤有害站点和限制用户对internet
的访问。
一. 介绍
Squid是Linux下最为流行的代理服务器软件，它功能强大，支持对HTTP，FTP，Gopher，SSL和WAIS等协议的代理；设置简单，只需对
配置文件中稍稍改动就可使代理服务器运转起来。而且Squid具有页面缓存功能，它接收用户的下载申请，并自动处理所下载的数据
。也就是说，当一个用户象要下载一个主页时，它向Squid发出一个申请，要Squid替它下载，然后Squid连接所申请网站并请求该主
页，接着把该主页传给用户同时保留一个备份，当别的用户申请同样的页面时，Squid把保存的备份立即传给用户，使用户觉得速度
相当快。
squidGuard则是作为squid的辅助软件，完成过滤、重定向和访问控制的功能。它是一个自由软件，功能强，便于安装、易于配置、
而且处理速度快。功能主要包括：根据web服务器或URLs列表限制一些用户的访问；阻塞某些用户对黑名单上的web服务器和URLs的访
问；阻塞某些用户对正则表达式匹配的URLs的访问；在URL路径加强了使用域名访问而禁止用IP访问；重定向阻塞的URLs到一个智能
CGI的信息页；重定向非授权用户到一个注册页面；具有基于日期、每周、每天具体时间的访问规则；对不同用户组有不同的规则。
但是不能过滤、检查文档中的文本以及HTML中的JavaScript或Vbscript脚本语言。
二. 安装
1。安装squid：
从www.squid-cache.org下载squid-2.5.STABLE12.tar.gz存在本地/usr/local/squid/src下。
在编译Squid之前，建立一个专门运行Squid的用户和组，这里建立了名为squid的组和用户，用户目录设为/usr/local/squid
#su squid
$cd /usr/local/squid/src
$tar xvzf squid-2.5.STABLE12.tar.gz
$ cd squid-2.5.STABLE12
$./configure
$make
$make install
(默认安装到/usr/local/squid目录下)
//默认RH系统里有squid用户和组
2。安装Berkeley DB 2.x:
从http://www.sleepycat.com 下载db-2.7.7.tar.gz并存在/usr/local/squidGuard/src/目录下
$su
#cd /usr/local/squidGuard/src/
#tar xvzf db-2.7.7.tar.gz
#cd db-2.7.7
#cd build_unix
//不能在根目录直接configure，必须先进入build_unix，再../dist/configure
#../dist/configure
#make
#make install
(默认安装到/usr/local/BerkeleyDB目录下)
注意：squidＧuard不支持Berkeley DB 3.x,4.x版本
3。安装squidGuard
官方网站：http://www.squidguard.org
从http://ftp.ost.eltele.no/pub/www/proxy/squidGuard/squidGuard-1.2.0.tar.gz下载软件包并存于本
地/usr/local/squidGuard/src/
#cd /usr/local/squidGuard/src/
#tar xvzf squidGuard-1.2.0.tar.gz
#cd squidGuard-1.2.0
#./configure --prefix=/usr/local/squidGuard
#make
#make test //测试ok，即可进行下一步安装
#make install
三. 配置
1．配置squid：
修改squid的配置文件/usr/local/squid/etc/squid.conf：
http_port 8080
#squid的代理端口，使用1024以下的端口，squid必须以root身份运行，一般以3128端口运行，开了防火墙的话，注意要打开
iptables的端口限制。
http_access allow all
#允许所有的用户通过代理进行http访问
#squid启用squidGuard进行过滤和转发
#/usr/local/squid/bin/squidGuard是squidGuard的执行路径，后面-c是配置文件的路径
redirect_program /usr/local/squid/bin/squidGuard -c /usr/local/squidGuard/squidGuard.conf
#派生5个squidGuard进程
redirect_children =5
其它参数：
#cache_mem：设置代理服务使用的内存大小，一般推荐为物理内存的三分之一
cache_mem 16 m
#cache_dir：设定缓存的位置、大小。一般格式如下：
cache_dir /usr/local/squid/cache 100 16 256
#/usr/local/squid/cache代表缓存的位置；100代表缓存最大为100M；16和256代表一级和二级目录数。
#cache_effective_user：设定使用缓存的有效用户。缺省为用户nobody，如果系统中没有用户nobody，最好建一个或以非root用户
运行Squid。这里是以squid身份运行的
cache_effective_user squid
#cache_effective_group：设定使用缓存的有效用户组。缺省组为nogroup，如果系统中没有组nogroup，最好建一个组。这里是
squid组。
cache_effective_group squid
(其余参数用默认值即可！)
2．配置squidGuard:
修改squidGuard的配置文件/usr/local/squidGuard/squidGuard.conf文件：
logdir /usr/local/squidGuard/logs #日志目录定义
dbhome /usr/local/squidGuard/db #db目录定义
#目标组定义
dest ipaddr {
domainlist ipaddr/domains
urllist ipaddr/urls
expressionlist ipaddr/expressions
}
#访问规则定义
acl {
default {
pass !ipaddr all
redirect http://192.168.0.1/error
(
#也可以重定向到一个含有一些信息的cgi页面，如下：
http://192.168.0.1/cgi/blocked?clientaddr=%a&clientname=%n&clientuser=%i&clientgroup=%s&targetgroup=%t&url=%u
#也可以重定向到www.google.com
)
}
}
# vi db/ipaddr/domains
（域列表文件：主要是阻塞一些定义的站点）
co.za
sex.com
（如上，可以阻塞如hack.co.za、sex.com、www.sex.com、whatever.sex.com，但是不同于.*[^.]sex.com，不匹配ssex.com）
# vi db/ipaddr/urls
（url列表文件，主要是阻塞一些站点及其一些栏目）
qihui.com/sex
valen.sohu.com/album
(如上可阻塞http://qihui.com/sex、http://qihui.com/sex/whatever、ftp://qihui.com/sex、http://www.qihui.com/sex等)
# vi db/ipaddr/expressions
(表达式列表文件，主要是阻塞一些与表达式匹配的URL访问)
(^│[\?+=/])(.*)(girl)(.*)([\?+=/]│$)
（上面的正则表达式可以阻塞URL中包括girl站点的访问，如：www.girlzine.com、girl.huabao.net、www.huayu.net/girl、
www.universiti.com/girl等 ）
注意：squidGuard对配置文件的语法要求很严，如果配置文件语法有误，squidGuard仍能运行，但是squidGuard已进入应急模式，此
时代理服务不具有任何阻塞作用，所有通过该代理的访问都可通过，可以查看logs/squidGuard的日志文件，即可发现错误，例如：
2001-12-20 17:08:44 [2430] parse error in configfile /usr/local/squidGuard/squidGuard.conf line 8
2001-12-20 17:08:44 [2430] going into emergency mode
…….
其中配置文件第8行有误，squidGuard进入应急模式。
配置的具体说明详见http://www.squidguard.org/
---------日志的存放----------------
squidGuard的日志是检查配置是否正确的工具。如果日志里出现了going into emergency mode，说明配置不成功。
默认squidGuard的日志存放[--prefix]/squidGuard/log/squidGuard.log，我们安装时--prefix=/usr/local/squidGuard，所以，还
需要：
mkdir /usr/local/squidGuard/squidGuard
mkdir /usr/local/squidGuard/squidGuard/log
chown squid.squid mkdir /usr/local/squidGuard/squidGuard
启动后，日志存放在/usr/local/squidGuard/squidGuard/log/squidGuard.log
此外，也可以在squidGuard的./configure时指定默认的日志文件
---------日志的存放----------------
#squidGuard的更多配置的安装，在squidGuard的安装包squidGuard-1.2.0.tar.gz有详细介绍。
四. 运行：
$ chmod 777 /usr/local/squid/logs
（设置logs对所有用户为可写。这样，不特定的squid代理客户才能正常访问代理服务器，并能在logs目录、产生access.log、
cache.log等文件。）
$ /usr/local/squid/bin/squid -z
(手工建立squid的缓存目录/usr/local/squid/cache。)
(cache有时默认是/usr/local/squid/var/cache)
(设置了cache_effective_user和cache_effective_group为squid时，还需要chown squid.squid -R /usr/local/squid/cache)
#/usr/local/squid/bin/squid
(后台执行squid。如果想前台执行squid：如果你想前台执行Squid执行命令：
$/usr/local/squid/bin/squid -NCd1
该命令正式启动Squid。如果一切正常，你会看到一行输出:
Ready to serve requests )
# ps ax│grep squid
20198 ? S 0:00 /usr/local/squid/bin/squid
20200 ? S 0:27 (squid)
20310 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
20311 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
20312 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
20313 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
20314 ? S 0:00 (squidGuard) -c /usr/local/squidGuard/squidGuard.conf
（此时squidGuard也已启用，每次修改配置后squid -k reconfigure重新起用即可，要杀掉squid执行squid -k kill）
查看squidGuard日志文件：
init domainlist /usr/local/squidGuard/db/ipaddr/domains
2001-12-20 16:14:43 [2270] init domainlist /usr/local/squidGuard/db/ipaddr/domains
2001-12-20 16:14:43 [2270] init urllist /usr/local/squidGuard/db/ipaddr/urls
2001-12-20 16:14:43 [2270] init expressionlist /usr/local/squidGuard/db/porn/expressions
2001-12-20 16:14:43 [2270] squidGuard 1.1.4 started (1008836083.022)
2001-12-20 16:14:43 [2270] recalculating alarm in 917 seconds
2001-12-20 16:14:43 [2270] squidGuard ready for requests (1008836083.044)
表示squidGuard已正常启动
五. 测试：
配置客户端，然后测试代理服务：
在另一台win2k上，（以Internet Explore5.0为例）运行IE，单击"工具"，接着单击"Internet选项"，再单击"连接"选项卡，单击"
局域网设置"；在"局域网设置"窗口中，在"地址"处填上squid服务器的IP地址192.168.100.16，在"端口"处填上"8080"（修改后
squid代理使用的端口号，也就是squid.conf中的http_port，默认值为3128），确定后退出。
接下来，先把IP改成192.168.100.20，浏览一些网站，如sohu，163等，然后再试试domains和urls中定义的，如hack.co.za、qihui.com/sex，会发现主页被重定向到http://www.google.com。然后再试试浏览有关girl的网站，去不了了：（；在sohu中搜girl
也被重定向了；用IP试试（有些代理程序对ＩＰ不做限制，用ＩＰ可以绕过代理的限制访问一些禁止的站点），可惜不行！（因为
squidＧuard配置文件中使用了！in_addr，所以可以强迫用户使用域名访问而不能使用ip访问）
再下来，把IP改成192.168.100.18，然后时间改为testtime外的时间，浏览网页，试试结果，然后再将时间改为testtime内浏览网页
！
最后，把IP改成192.168.100.30，浏览网页测试。
（可以查看logs下的access.log和cache.log，看看是否代理运行正常以及访问的站点记录）
总结：
由上可见，用squid和squidＧuard建立的代理服务器，配置比较简单，而且功能强大，可以有效的限制一些用户对internet的访问并
过滤一些黑名单列出的站点（如色情站点等）。
这里只简单的介绍了关于http代理的例子，其它的应用和功能大家可以自己试试。
