每天学习一个命令:nmap 扫描开放端口

nmap 是一个网络探测和安全审核工具,能够扫描主机开放端口。nmap 全称 network mapper 网络映射器,设计的目标是快速扫描大型网络。

nmap以原始IP报文来检测网络上有哪些主机,主机运行哪些操作系统(包括版本),主机提供哪些服务(应用程序名和版本),主机使用什么类型的报文过滤器/防火墙,以及一堆其它功能。虽然Nmap通常用于安全审核,许多系统管理员和网络管理员也用它来做一些日常的工作,比如查看整个网络的信息,管理服务升级计划,以及监视主机和服务的运行。

Nmap输出的是扫描目标的列表,以及每个目标的补充信息,至于是哪些信息则依赖于所使用的选项。 “所感兴趣的端口表格”是其中的关键。结果列出端口号,协议,服务名称和状态。状态可能是 open(开放的),filtered(被过滤的),closed(关闭的),或者unfiltered(未被过滤的)。

  • Open(开放的)意味着目标机器上的应用程序正在该端口监听连接/报文。
  • filtered(被过滤的) 意味着防火墙,过滤器或者其它网络障碍阻止了该端口被访问,Nmap无法得知 它是 open(开放的) 还是 closed(关闭的)。 
  • closed(关闭的) 端口没有应用程序在它上面监听,但是他们随时可能开放。
  • unfiltered(未被过滤的)当端口对Nmap的探测做出响应,但是Nmap无法确定它们是关闭还是开放时
如果Nmap报告状态组合 open filtered 和 closed filtered 时,那说明Nmap无法确定该端口处于两个状态中的哪一个状态。当要求进行版本探测时,端口表也可以包含软件的版本信息。当要求进行IP协议扫描时 (-sO),Nmap提供关于所支持的IP协议而不是正在监听的端口的信息。

除了所感兴趣的端口表,Nmap还能提供关于目标机的进一步信息,包括反向域名,操作系统猜测,设备类型,和MAC地址。

简单例子

    nmap -A -T4 scanme.nmap.org

端口状态

open 开放的

应用程序正在该端口接收TCP 连接或者UDP报文。发现这一点常常是端口扫描的主要目标,安全意识强的人们知道每个开放的端口都是攻击的入口。攻击者或者入侵测试者想要发现开放的端口。而管理员则试图关闭它们或者用防火墙保护它们以免妨碍了合法用户。非安全扫描可能对开放的端口也感兴趣,因为它们显示了网络上那些服务可供使用。

closed 关闭的

关闭的端口对于Nmap也是可访问的(它接受Nmap的探测报文并作出响应), 但没有应用程序在其上监听。 它们可以显示该IP地址上(主机发现,或者ping扫描)的主机正在运行up 也对部分操作系统探测有所帮助。 因为关闭的关口是可访问的,也许过会儿值得再扫描一下,可能一些又开放了。 系统管理员可能会考虑用防火墙封锁这样的端口。 那样他们就会被显示为被过滤的状态,下面讨论。

filtered 被过滤的

由于包过滤阻止探测报文到达端口,Nmap无法确定该端口是否开放。过滤可能来自专业的防火墙设备,路由器规则 或者主机上的软件防火墙。这样的端口让攻击者感觉很挫折,因为它们几乎不提供 任何信息。有时候它们响应ICMP错误消息如类型3代码13 (无法到达目标: 通信被管理员禁止),但更普遍的是过滤器只是丢弃探测帧, 不做任何响应。 这迫使Nmap重试若干次以访万一探测包是由于网络阻塞丢弃的。 这使得扫描速度明显变慢。

unfiltered 未被过滤的

未被过滤状态意味着端口可访问,但Nmap不能确定它是开放还是关闭。 只有用于映射防火墙规则集的ACK扫描才会把端口分类到这种状态。 用其它类型的扫描如窗口扫描,SYN扫描,或者FIN扫描来扫描未被过滤的端口可以帮助确定 端口是否开放。

open filtered 开放或者被过滤的

当无法确定端口是开放还是被过滤的状态。开放的端口不响应就是一个例子,没有响应也可能意味着报文过滤器丢弃了探测报文或者它引发的任何响应。因此Nmap无法确定该端口是开放的还是被过滤的。UDP,IP协议,FIN,Null,和Xmas扫描可能把端口归入此类。

closed filtered 关闭或者被过滤的

Nmap不能确定端口是关闭的还是被过滤的。它只可能出现在IPID Idle扫描中。

常用端口 Common Ports

端口号从 1 到 65535

  • 小于1024 的端口号通常和 Linux 和 Unix-Like 系统内置服务关联,通常不单独使用,一般需要root才能开启
  • 1024 到 49151 的端口,被认为是 registered.  通常特定的服务可以向 IANA (Internet Assigned Numbers Authority) 来申请使用。 - 在49152 到65535 之间的端口不能被注册使用,并且推荐作为私有用途

常见的端口

20: FTP data
21: FTP control port
22: SSH
23: Telnet <= Insecure, not recommended for most uses
25: SMTP
43: WHOIS protocol
53: DNS services
67: DHCP server port
68: DHCP client port
80: HTTP traffic <= Normal web traffic
110: POP3 mail port
113: Ident authentication services on IRC networks
143: IMAP mail port
161: SNMP
194: IRC389: LDAP port
443: HTTPS <= Secure web traffic
587: SMTP <= message submission port
631: CUPS printing daemon port
666: DOOM <= This legacy FPS game actually has its own special port

其他常见的端口可以通过

    less /etc/services 

来查看。

查看本地端口

    sudo netstat -plunt

netstat 命令用来查看本地端口和服务。

使用 Nmap

安装

    sudo apt-get update      sudo apt-get install nmap

nmap 的创建者提供了一个测试服务器

scanme.nmap.org

扫描类型

-sT    TCP connect()扫描,这是最基本的TCP扫描方式。这种扫描很容易被检测到,在目标主机的日志中会记录大批的连接请求以及错误信息。    
-sS    TCP同步扫描(TCP SYN),因为不必全部打开一个TCP连接,所以这项技术通常称为半开扫描(half-open)。这项技术最大的好处是,很少有系统能够把这记入系统日志。不过,你需要root权限来定制SYN数据包。    
-sF,-sX,-sN    秘密FIN数据包扫描、圣诞树(Xmas Tree)、空(Null)扫描模式。这些扫描方式的理论依据是:关闭的端口需要对你的探测包回应RST包,而打开的端口必需忽略有问题的包(参考RFC 793第64页)。    
-sP    ping扫描,用ping方式检查网络上哪些主机正在运行。当主机阻塞ICMP echo请求包是ping扫描是无效的。nmap在任何情况下都会进行ping扫描,只有目标主机处于运行状态,才会进行后续的扫描。    
-sU    UDP的数据包进行扫描,如果你想知道在某台主机上提供哪些UDP(用户数据报协议,RFC768)服务,可以使用此选项。    
-sA    ACK扫描,这项高级的扫描方法通常可以用来穿过防火墙。    
-sW    滑动窗口扫描,非常类似于ACK的扫描。    
-sR    RPC扫描,和其它不同的端口扫描方法结合使用。    
-b    FTP反弹攻击(bounce attack),连接到防火墙后面的一台FTP服务器做代理,接着进行端口扫描。    

通用选项

-P0    在扫描之前,不ping主机。    
-PT    扫描之前,使用TCP ping确定哪些主机正在运行。    
-PS    对于root用户,这个选项让nmap使用SYN包而不是ACK包来对目标主机进行扫描。    
-PI    设置这个选项,让nmap使用真正的ping(ICMP echo请求)来扫描目标主机是否正在运行。    
-PB    这是默认的ping扫描选项。它使用ACK(-PT)和ICMP(-PI)两种扫描类型并行扫描。如果防火墙能够过滤其中一种包,使用这种方法,你就能够穿过防火墙。    
-O    这个选项激活对TCP/IP指纹特征(fingerprinting)的扫描,获得远程主机的标志,也就是操作系统类型。    
-I    打开nmap的反向标志扫描功能。    
-f    使用碎片IP数据包发送SYN、FIN、XMAS、NULL。包增加包过滤、入侵检测系统的难度,使其无法知道你的企图。    
-v    冗余模式。强烈推荐使用这个选项,它会给出扫描过程中的详细信息。    
-S <IP>    在一些情况下,nmap可能无法确定你的源地址(nmap会告诉你)。在这种情况使用这个选项给出你的IP地址。    
-g port    设置扫描的源端口。一些天真的防火墙和包过滤器的规则集允许源端口为DNS(53)或者FTP-DATA(20)的包通过和实现连接。显然,如果攻击者把源端口修改为20或者53,就可以摧毁防火墙的防护。    
-oN    把扫描结果重定向到一个可读的文件logfilename中。    
-oS    扫描结果输出到标准输出。    
--host_timeout    设置扫描一台主机的时间,以毫秒为单位。默认的情况下,没有超时限制。    
--max_rtt_timeout    设置对每次探测的等待时间,以毫秒为单位。如果超过这个时间限制就重传或者超时。默认值是大约9000毫秒。    
--min_rtt_timeout    设置nmap对每次探测至少等待你指定的时间,以毫秒为单位。    
-M count    置进行TCP connect()扫描时,最多使用多少个套接字进行并行的扫描。 ```  

扫描目标

目标地址可以为IP地址,CIRD 地址等。如192.168.1.2,222.247.54.5/24    

-iL filename    从filename文件中读取扫描的目标。    
-iR    让nmap自己随机挑选主机进行扫描。    
-p    端口 这个选项让你选择要进行扫描的端口号的范围。如:-p 20-30,139,60000
-exclude    排除指定主机。    
-excludefile    排除指定文件中的主机。    

常用命令

获取远程主机系统类型和开放端口

nmap -sS -P0 -sV -O [target]

这里的 target 可以是单一 IP, 或主机名,或域名,或子网

-sS TCP SYN 扫描 (又称半开放,或隐身扫描)
-P0 允许你关闭 ICMP pings.
-sV 打开系统版本检测
-O 尝试识别远程操作系统

其它选项:

-A 同时打开操作系统指纹和版本检测
-v 详细输出扫描情况.

寻找网络中所有在线主机

sudo nmap -sP 192.168.0.0/24

参数

Usage: nmap [Scan Type(s)] [Options] {target specification}
TARGET SPECIFICATION:
  Can pass hostnames, IP addresses, networks, etc.
  Ex: scanme.nmap.org, microsoft.com/24, 192.168.0.1; 10.0-255.0-255.1-254
  -iL <inputfilename>: Input from list of hosts/networks
  -iR <num hosts>: Choose random targets
  --exclude <host1[,host2][,host3],...>: Exclude hosts/networks
  --excludefile <exclude_file>: Exclude list from file
HOST DISCOVERY:
  -sL: List Scan - simply list targets to scan
  -sP: Ping Scan - go no further than determining if host is online
  -P0: Treat all hosts as online -- skip host discovery
  -PS/PA/PU [portlist]: TCP SYN/ACK or UDP discovery probes to given ports
  -PE/PP/PM: ICMP echo, timestamp, and netmask request discovery probes
  -n/-R: Never do DNS resolution/Always resolve [default: sometimes resolve]
SCAN TECHNIQUES:
  -sS/sT/sA/sW/sM: TCP SYN/Connect()/ACK/Window/Maimon scans
  -sN/sF/sX: TCP Null, FIN, and Xmas scans
  --scanflags <flags>: Customize TCP scan flags
  -sI <zombie host[:probeport]>: Idlescan
  -sO: IP protocol scan
  -b <ftp relay host>: FTP bounce scan
PORT SPECIFICATION AND SCAN ORDER:
  -p <port ranges>: Only scan specified ports
    Ex: -p22; -p1-65535; -p U:53,111,137,T:21-25,80,139,8080
  -F: Fast - Scan only the ports listed in the nmap-services file)
  -r: Scan ports consecutively - don't randomize
SERVICE/VERSION DETECTION:
  -sV: Probe open ports to determine service/version info
  --version-light: Limit to most likely probes for faster identification
  --version-all: Try every single probe for version detection
  --version-trace: Show detailed version scan activity (for debugging)
OS DETECTION:
  -O: Enable OS detection
  --osscan-limit: Limit OS detection to promising targets
  --osscan-guess: Guess OS more aggressively
TIMING AND PERFORMANCE:
  -T[0-6]: Set timing template (higher is faster)
  --min-hostgroup/max-hostgroup <msec>: Parallel host scan group sizes
  --min-parallelism/max-parallelism <msec>: Probe parallelization
  --min-rtt-timeout/max-rtt-timeout/initial-rtt-timeout <msec>: Specifies
      probe round trip time.
  --host-timeout <msec>: Give up on target after this long
  --scan-delay/--max-scan-delay <msec>: Adjust delay between probes
FIREWALL/IDS EVASION AND SPOOFING:
  -f; --mtu <val>: fragment packets (optionally w/given MTU)
  -D <decoy1,decoy2[,ME],...>: Cloak a scan with decoys
  -S <IP_Address>: Spoof source address
  -e <iface>: Use specified interface
  -g/--source-port <portnum>: Use given port number
  --data-length <num>: Append random data to sent packets
  --ttl <val>: Set IP time-to-live field
  --spoof-mac <mac address, prefix, or vendor name>: Spoof your MAC address
OUTPUT:
  -oN/-oX/-oS/-oG <file>: Output scan results in normal, XML, s|<rIpt kIddi3,
     and Grepable format, respectively, to the given filename.
  -oA <basename>: Output in the three major formats at once
  -v: Increase verbosity level (use twice for more effect)
  -d[level]: Set or increase debugging level (Up to 9 is meaningful)
  --packet-trace: Show all packets sent and received
  --iflist: Print host interfaces and routes (for debugging)
  --append-output: Append to rather than clobber specified output files
  --resume <filename>: Resume an aborted scan
  --stylesheet <path/URL>: XSL stylesheet to transform XML output to HTML
  --no-stylesheet: Prevent Nmap from associating XSL stylesheet w/XML output
MISC:
  -6: Enable IPv6 scanning
  -A: Enables OS detection and Version detection
  --datadir <dirname>: Specify custom Nmap data file location
  --send-eth/--send-ip: Send packets using raw ethernet frames or IP packets
  --privileged: Assume that the user is fully privileged
  -V: Print version number
  -h: Print this help summary page.
EXAMPLES:
  nmap -v -A scanme.nmap.org
  nmap -v -sP 192.168.0.0/16 10.0.0.0/8
  nmap -v -iR 10000 -P0 -p 80

reference


2017-01-05 linux , nmap , 学习笔记 , port , network

每天学习一个命令:netstat 查看本地监听端口

以”查看本地端口占用情况”为契机学习一下 netstat 命令。在 man netstat 中的介绍,netstat 可以打印网络连接,路由表,接口信息,masquerade 连接,多播信息的工具。

netstat - Print network connections, routing tables, interface statistics, masquerade connections, and multicast memberships

简单使用

直接运行以下命令可以打印出当前系统上所有开放的端口(包括TCP,UDP端口),进程等等信息

sudo netstat -tupln
  • -l will list listening ports 列出所有在监听的服务端口
  • -p will display the process
  • -n will show port numbers instead of names 尽量显示数字
  • -t to show TCP ports
  • -u will show UDP ports

其他常用参数

  • -a 显示当前所有连接
  • -r 显示路由信息
  • -e 显示扩展信息
  • -s 按照各个协议进行统计

输出结果中,各个字段的含义

字段 含义
Proto 连接使用协议
Recv-Q 接受队列
Send-Q 发送队列,此队列和上面接受队列一般都为0,如果不是则表示队列中有正在处理
Local Address 本地地址和端口
Foreign Address 网络地址
State 显示套接口当前状态
PID/Program PID 和进程名字

返回中的状态说明:

  • LISTEN:侦听来自远方的TCP端口的连接请求
  • SYN-SENT:再发送连接请求后等待匹配的连接请求(如果有大量这样的状态包,检查是否中招了)
  • SYN-RECEIVED:再收到和发送一个连接请求后等待对方对连接请求的确认(如有大量此状态,估计被flood攻击了)
  • ESTABLISHED:代表一个打开的连接
  • FIN-WAIT-1:等待远程TCP连接中断请求,或先前的连接中断请求的确认
  • FIN-WAIT-2:从远程TCP等待连接中断请求
  • CLOSE-WAIT:等待从本地用户发来的连接中断请求
  • CLOSING:等待远程TCP对连接中断的确认
  • LAST-ACK:等待原来的发向远程TCP的连接中断请求的确认(不是什么好东西,此项出现,检查是否被攻击)
  • TIME-WAIT:等待足够的时间以确保远程TCP接收到连接中断请求的确认
  • CLOSED:没有任何连接状态

常用组合

列出所有端口,包括监听的和未监听

-a 选项会列出所有连接

netstat -a

列出所有 tcp 端口

netstat -at

列出 udp 端口

netstat -au

列出处于监听状态的 Sockets

网络服务的后台进程都会打开一个端口,用于监听请求,使用 -l 参数列出正在监听的网络端口

netstat -l

-l 只会显示监听的端口,不会显示连接

只列出所有监听 tcp 的端口

netstat -lt

同理,只监听 udp 的端口

netstat -lu

显示进程信息

-p 选项会打印出进程的名字

sudo netstat -p

需要注意 -p 选项使用 root 运行,大部分网络服务都需要 root 运行

持续输出 netstat 信息

netstat -c

禁止反向域名解析

-n 选项禁用域名反向解析,打印的结果中将只会有IP地址

netstat -ant

打印网络接口

netstat -i

如果需要更加详细的信息可以添加 -e

netstat -ie

那么此刻打印的内容就和 ifconfig 一样了

reference


2017-01-04 network , linux , netstat , ports

修复 Linux mint 下 sogou 输入法

记录一下 Linux 下 Sogou 输入法失效的问题,以及解决修复过程。 Linux 真是太难折腾了,一些配置总是太乱,没有文档,没有集中的 Q&A ,导致使用过程非常困难,一些基础设施都很难用。当然如果调教的好,也是能够非常高效的。比如解决了这个基础打字问题之后的这篇文章就是在 Linux Mint 下完成的。

问题描述

不知道是系统升级还是因为输入法升级,(可在我印象中完全没有做任何干扰到输入法的事情),搜狗输入法 Linux 版,就这么挂掉了,而其他设置一切正常,其他的输入法也都一切正常,但是实在无法用的过来, RIME没有一个可更新的词库,google pinyin 也是词库不全,使用起来总还是不太方便,虽然 sogou 输入法在 Linux 下有些问题所在,但是还是相对来说比较好用的,但是它就这么挂了。

解决过程

在刚开始的时候以为是 Fcitx 的问题,卸载 sudo apt remove fcitx,重装,登入登出好几回,发现并没有任何用,期间也尝试使用过 iBus,但是实在无法使用。

最后在网上查阅问题的时候,发现 搜狗输入法在系统的 ~/.config 下会有三个配置文件夹,包括

  • SogouPY
  • SogouPY.user
  • sogou-qimpanel

将此三文件夹,移动位置,或者删除,重新安装搜狗输入法,登出,登录,即可。


2017-01-03 Linux , Linux Mint , Sogou

Java 查漏补缺之注解

注解,也称为元数据,注解是一系列元数据,它提供数据用来解释程序代码,但是注解并非是所解释的代码本身的一部分。注解对于代码的运行效果没有直接影响。

注解有许多用处,主要如下:

  • 提供信息给编译器:编译器可以利用注解来探测错误和警告信息
  • 编译阶段时的处理:软件工具可以用来利用注解信息来生成代码、Html 文档或者做其它相应处理
  • 运行时的处理:某些注解可以在程序运行的时候接受代码的提取

注解的形式

常用的注解 @Override 等等就略过,如果注解有 annotation type element declarations,可写成:

@SuppressWarnings(value = "unchecked")
void myMethod() { ... }

或者省略

@SuppressWarnings("unchecked")
void myMethod() { ... }

如果没有 annotation type element declarations,括号也能省略。如果遇到

@Author(name = "Jane Doe")
@Author(name = "John Smith")
class MyClass { ... }

这样的形式,这是 Java 8 引入的新的 Repeating Annotations 注解。

注解可以在定义时使用,包括类定义,field 定义,方法定义时。 Java 8 之后,注解也可以用在下面这些情况:

  • 类实例化时

      new @Interned MyObject()
    
  • 强制类型装换时

      myString = (@NonNull String) str;
    
  • implements 语句

      class UnmodifiableList<T> implements
              @Readonly List<@Readonly T> { ... }
    
  • 抛出异常时

      void monitorTemperature() throws
              @Critical TemperatureException { ... }
    

这种类型的注解叫做 type annotation,更多信息可以在这里 查看。

定义注解

看上去很像接口,下面是 JDK 中自带的 Override 注解

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.SOURCE)
public @interface Override {
}

定义自己的注解

@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.METHOD)
public @interface TimeCost {
    public boolean enabled() default true;
}

注解的属性也叫做 annotation type element declarations,看起来像方法,但是不是。注解只有 annotation type element declarations,没有方法。注解的 annotation type element declarations 在注解的定义中以“无形参的方法”形式来声明,其方法名定义了该 annotation type element declarations 的名字,其返回值定义了该 annotation type element declarations 的类型。

元注解

有如下元注解 (meta-annotation),可以理解成定义注解的注解。

注解名字 解释
@Target 定义的注解可以用于什么地方,详见 ElementType 枚举
@Retention 在什么级别保存该注解信息,详见 RetentionPolicy 枚举
@Document 将注解包含在 Javadoc 中
@Inherited 允许子类继承父类中的注解
@Repeatable 表示该注解可以在同一个定义地方被多次使用

前四个注解是 Java 5 引入,后 Java 8 引入了 Repeating Annotations.

Repeating Annotations

可重复的注解是 Java 8 引入的内容,为什么需要可重复的注解呢?举个官方文档上的例子,比如说定义了一个定时任务,有两种方式来驱动

@Schedule(dayOfMonth="last")
@Schedule(dayOfWeek="Fri", hour="23")
public void doPeriodicCleanup() { ... }

亦或是在类上定义权限

@Alert(role="Manager")
@Alert(role="Administrator")
public class UnauthorizedAccessException extends SecurityException { ... }

为了实现可重复的注解,在注解定义时需要添加 @Repeatable 元注解

import java.lang.annotation.Repeatable;

@Repeatable(Schedules.class)
public @interface Schedule {
  String dayOfMonth() default "first";
  String dayOfWeek() default "Mon";
  int hour() default 12;
}

@Repeating 元注解括号中需要定义 container annotation,这个 container annotation 是 Java 编译器生成用来存储可重复注解的。在例子中,container annotation type 就是 Schedules,因此可重复注解 @Shedule 就被保存在 @Schedules 中。

定义 container annotation type 必须要包含一个 value 变量,这个变量是一个包含注解的数组。

public @interface Schedules {
    Schedule[] value();
}

获取解析注解

通过反射获取注解有很多方法,之前的 AnnotatedElement.getAnnotation(Class<T>) 方法维持不变,依然返回一个注解。或者在 JAVA 8 以后,可以通过 AnnotatedElement.getAnnotationsByType(Class<T>) 来一次性获取多个注解。

reference


2017-01-03 java , annotation , interface

每天学习一个命令:iptables Linux 上的防火墙

iptables 命令是 Linux 上常用的防火墙软件,是 netfilter 项目的一部分。可以直接配置,也可以通过许多前端和图形界面配置。这篇文章主要介绍 iptables 的安装,添加规则,清除规则,开放指定端口,屏蔽指定 ip,ip 段,等等基本功能。

安装

sudo apt-get install iptables

iptables 防火墙用于创建过滤规则和 NAT(网络地址转换) 规则,几乎所有 Linux 发行版都能使用。 iptables 的结构 iptables -> Tables -> Chains -> Rules ,简单地,Tables 由 Chains 组成,Chains 又由 Rules 组成。

Table 组成

iptables 具有 Filter,NAT,Mangel,Raw,security 这几种内建表:

Filter 表

Filter 是 iptables 默认表,内建链

  • INPUT 链,处理来自外部的数据
  • OUTPUT 链,处理向外发送的数据
  • FORWARD 链,将数据转发到本机的其他网卡设备

NAT 表

三种内建链:

  • PREROUTING 链,处理刚到达本机并在路由转发前的数据包。它会转换数据包中的目标 IP 地址(destination ip address),通常用于 DNAT
  • POSTROUTING 链,处理即将离开本机的数据包,将会转换数据包中的源 IP 地址(source ip address),通常用于 SNAT(source NAT)
  • OUTPUT 链,处理本机产生的数据包

Mangel 表

Mangle 表用于指定如何处理数据包,它能改变 TCP 头中的 QoS 位,5 个内建链:

  • PREROUTING
  • INPUT
  • FORWARD
  • OUTPUT
  • POSTROUTING

Raw 表

Raw 表用于处理异常,具有两个内建链:

  • PREROUTING
  • OUTPUT

iptables 规则

关键点

  • Rules 包括一个条件和一个目标
  • 如果满足条件,就执行目标 target 中的规则或者特定值
  • 如果不满足条件,就判断下一条 rule

下面是 target 中指定的特殊值:

  • ACCEPT 允许防火墙接受数据包
  • DROP 防火墙丢弃包
  • QUEUE 防火墙将数据包移交到用户空间
  • RETURN 防火墙停止执行当前链后续 rules,并返回到调用链中

查看规则

查看已添加的 iptables 规则

iptables -t filter --list           # 使用 -t 来指定表,默认为 filter 表
iptables -L -n
iptables -nvL --line-numbers

解释

  • -t: 指定 table
  • -n:只显示 IP 地址和端口号,不将 ip 解析为域名

将所有 iptables 以序号标记显示

iptables -L -n --line-numbers

在输出结果中可以看到如下字段:

  • num 指定链中规则编号
  • target 前文中提及的 target 指定值
  • prot 协议 tcp, udp,icmp 等
  • source 数据包源 IP 地址
  • destination 数据包目标 IP 地址

常用参数

常见的一些命令选项

-A

使用 -A 命令追加新规则,其中 -A 表示 Append,新规则将追加到链尾。

iptables -A [chain] [firewall-rule]

解释:

  • -A chain 指定要追加规则的链
  • firewall-rule 具体的规则参数

下面是描述规则的基本参数

-p 协议

可以使用 -p 来指定规则协议,比如 tcp,udp, icmp 等等,使用 all 来指定所有协议。

另外也可以使用协议值(比如 6 代表 tcp)来指定协议,映射关系可以查看 /etc/protocols

-s 源地址

使用 -s 来指定数据包的源地址,参数可以使用 IP 地址,网络地址,主机名

  • -s 192.168.1.101 指定 IP
  • -s 192.168.1.10/24 网络地址
  • 如果不指定 -s 表示所有地址

-d 目标地址

-d 来指定目的地址,参数和 -s 相同

-j 执行目标

-j 代表 jump to target,指定了当与规则匹配时如何处理包

可能值为 ACCEPT,DROP,QUEUE,RETURN,也能指定其他链(chain) 来作为目标

-i 输入接口

-i 代表输入接口,-i 指定了要处理来自哪个接口的数据包,这些包即将进入 INPUT,FORWARD,PREROUTE 链。

比如 -i eth0 指定了要处理通过 eth0 进入的数据包,如果不指定 -i 参数那么将处理所有接口的数据包。

  • ! -i eth0 处理所有经由 eth0 以外的接口进入的数据包
  • -i eth+ 将处理所有经由 eth 开头的接口进入的数据包

也可以使用 --in-interface

-o 输出

-o 代表 output interface, -o 制定了数据包由哪个接口输出,这些数据包即将进入 FORWARD,OUTPUT,POSTROUTING 链

如果不指定 -o 选项,那么系统上所有接口都可以作为输出接口

  • ! -o eth0 那么将从 eth0 以外的接口输出
  • -i eth+ 那么将仅从 eth 开头的接口输出

也可以使用 --out-interface 参数

–sport 源端口

针对 -p tcp 或者 -p udp 缺省情况下,将匹配所有端口。可以指定端口号或者端口名,比如

  • --sport 22
  • --sport ssh
  • --sport 22:100 # 使用冒号匹配端口范围

上述关系可以再 /etc/services 文件中查阅

同理 --dport 是指定目的端口

新建或者删除 Chain

使用 -N,比如:

iptables -t nat -N SHADOWSOCKS
iptables -t nat -X SHADOWSOCKS
iptables -t nat -E SHADOWSOCKS SS
iptables -t nat -F SHADOWSOCKS

解释:

  • -N 新建 Chain
  • -X 删除
  • -E 重命名
  • -F 删除 Chain 中所有规则

清理规则

清除已有 iptables 规则

iptables -F     # 刷新所有链
iptables --flush     # 刷新所有链
iptables -t NAT -F      # 有些发行版 `-F` 命令并不会清除 NAT 表中的规则
iptables -X     # 删除表中所有非默认链

允许本地回环接口(即运行本机访问本机)

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

允许所有本机向外的访问

iptables -A OUTPUT -j ACCEPT

允许访问 22 端口,允许某 IP 访问指定端口,以 22 端口为例命令是

iptables -A INPUT -p tcp --dport 22 -j ACCEPT                         # 允许所有的 IP 访问 22 端口
iptables -I INPUT -s 123.45.6.7 -p tcp --dport 22 -j ACCEPT           # 允许某个 IP 访问
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT       # 允许 IP 段访问

允许外部访问 80 端口

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

允许 FTP 服务的 21 和 20 端口

iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT

如果有其他端口稍微修改上述语句中的端口号即可

允许已建立的或相关连的通行

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

禁止访问

禁止其他未允许的规则访问

注意:如果 22 端口未加入允许规则,SSH 链接会直接断开

屏蔽单个 IP 的命令是

iptables -I INPUT -s 123.45.6.7 -j DROP

封整个段即从 123.0.0.1 到 123.255.255.254 的命令

iptables -I INPUT -s 123.0.0.0/8 -j DROP

封 IP 段即从 123.45.0.1 到 123.45.255.254 的命令

iptables -I INPUT -s 124.45.0.0/16 -j DROP

封 IP 段即从 123.45.6.1 到 123.45.6.254 的命令是

iptables -I INPUT -s 123.45.6.0/24 -j DROP

屏蔽某 IP 访问指定端口,以 22 端口为例命令是

iptables -I INPUT -s 123.45.6.7 -p tcp --dport 22 -j DROP

删除规则

删除已添加的 iptables 规则

比如要删除 INPUT 里序号为 8 的规则,执行:

iptables -D INPUT 8

保存和恢复配置规则

保存生效的配置,让系统重启的时候自动加载有效配置(iptables 提供了保存当前运行的规则功能)

iptables-save > /etc/iptables.rules

恢复规则可以使用:

iptables-restore < /etc/iptables.rules

但是系统并不会在启动时自动执行该规则,所以需要在 /etc/network/if-pre-up.d/ 目录中添加脚本

#!/bin/bash
iptables-restore < /etc/iptables.rules

让系统在开机时自动加载规则

其他应用

防止 DDos

iptables -A INPUT -p tcp --dport 80 -m limit --limit 30/minute --limit-burst 100 -j ACCEPT

解释:

  • -limit 30/minute: 最大每个分钟 30 个连接
  • limit-burst 100: 用来表示只有达到这个连接数量之后才会触发 limit/minute 限制

端口转发

下面的例子,将 422 端口的流量转发到 22 端口,意味着 incoming ssh 连接可以从 22 端口或者 422 端口:

iptables -t nat -A PREROUTING -p tcp -d 192.168.2.104 --dport 422 -j DNAT --to 192.168.2.104:22

另外也要显示的让 422 流量通过

iptables -A INPUT -i eth0 -p tcp --dport 422 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 422 -m state --state ESTABLISHED -j ACCEPT

reference


2017-01-03 iptables , firewall , linux , network , command

Samba 使用

Samba,是种用来让UNIX系列的操作系统与微软Windows操作系统的SMB/CIFS(Server Message Block/Common Internet File System)网络协议做链接的自由软件。1 Samba能够为选定的Unix目录(包括所有子目录)创建网络共享。该功能使得Windows用户可以像访问普通Windows下的文件夹那样来通过网络访问这些Unix目录。

命令

smbd

启用 smb

sudo service smbd start

Samba 进程,使用 -D 参数开启守护进程。

或者

sudo /etc/init.d/samba start

smbpasswd

smbpasswd 命令属于 samba ,能够实现添加或删除samba用户和为用户修改密码。

语法

smbpasswd [option] [username]

smbpasswd(选项)(参数) 选项

-a:向smbpasswd文件中添加用户;
-c:指定samba的配置文件;
-x:从smbpasswd文件中删除用户;
-d:在smbpasswd文件中禁用指定的用户;
-e:在smbpasswd文件中激活指定的用户;
-n:将指定的用户的密码置空。

用户名:指定要修改SMB密码的用户。

添加用户

首先在 /etc/passwd 中添加一条,按照此格式:用户名:密码:uid:gid:用户描述:主目录:登陆shell

einverne:*:1000:65534:einverne:/var:/bin/false

然后添加 Samba 用户:

smbpasswd -a einverne

修改用户密码

smbpasswd einverne

配置

文件地址 /etc/samba/smb.conf

[global]
    netbios name = OpenWrt 
    display charset = UTF-8
    interfaces = 127.0.0.1/8 lo 192.168.1.1/24 ipv6 address/60 br-lan 
    server string = OpenWrt Samba Server
    unix charset = UTF-8
    workgroup = WORKGROUP	# Windows 默认
    browseable = yes
    deadtime = 30		# This is useful to stop a server's resources being exhausted by a large number of inactive connections
    domain master = yes
    encrypt passwords = true
    enable core files = no
    guest account = root
    guest ok = yes
    #invalid users = root
    local master = yes
    load printers = no
    map to guest = Bad User
    max protocol = SMB2
    min receivefile size = 16384
    null passwords = yes
    obey pam restrictions = yes
    os level = 65
    passdb backend = smbpasswd
    preferred master = yes
    printable = no
    security = user
    smb encrypt = disabled
    smb passwd file = /etc/samba/smbpasswd
    socket options = TCP_NODELAY IPTOS_LOWDELAY SO_RCVBUF=40960 SO_SNDBUF=40960
    syslog = 2
    strict allocate=no
    use sendfile = yes
    writeable = yes
    large readwrite = yes
    aio read size = 40960
    aio write size = 40960
    read raw = yes
    write raw = yes

# 创建了一个 Share 名为 OpenWrt
[OpenWrt]
    path = /mnt/sda1			# 目录
    valid users = root			# 允许root读写操作
    read only = no				# 允许写
    guest ok = no				# 不允许匿名
    create mask = 0777			# 新文件权限
    directory mask = 0777		# 新文件夹权限

配置参数

正如上面提到的,创建一个新的 名为 Openwrt 的共享,需要有些配置,有些配置看名字就能够看出,但是有一些有些复杂。

如果想要创建一个只读的,任何人都可以访问的分享:

[Share]
    path = /media/movie
    comment = this is folder sync from bt
    read only = yes
    guest ok = yes
    create mask = 0777			# 新文件权限
    directory mask = 0777		# 新文件夹权限

参数:

  • create mode – 这个配置定义新创建文件的属性。Samba在新建文件时,会把dos文件的权限映射成对应的unix权限,在映射后所得的权限,会与这个参数所定义的值进行与操作。然后再和下面的force create mode进行或操作,这样就得到最终linux下的文件权限。
  • force create mode – 见上面的描述。相当于此参数所设置的权限位一定会出现在文件属性中。
  • directory mode – 这个配置与create mode参数类似,只是它是应用在新创建的目录上。Samba在新建目录时,会把dos–>linux映射后的文件属性,与此参数所定义的值相与,再和force directory mode相或,然后按这个值去设置目录属性。
  • force directory mode – 见上面的描述。相当于此参数中所设置的权限位一定会出现在目录的属性中。
  • 说明一点,上面的create mode和create mask参数是同义词,用哪个都可以;而directory mode和directory mask参数是相同的。

reference


2016-12-27 samba , smb , openwrt , linux

2016年读书笔记

又到了一年的年末,翻开去年的记录,吃惊的发现去年竟然只看过16本。今年年初的时候,计划阅读100本书,也的的确确一直坚持了一年,中途可能因为工作耽误了一些进度,但也一直坚持到现在。然而遗憾的是到目前为止,距离2016年结束还有短短一个礼拜的时候,又发生了和去年一样的问题,欠下了10本左右的债。

耳边总有人说,“为什么总要在意那几个数字?”,而对我而言,那不仅仅是那几个数字,他是年初的一句承诺,对整个年度的一句承诺,如果不能达到这个承诺,那过去说过的话还有什么意义。

今年的书单印证了一句话“因为一本书,爱上一个人,迷上一个类型”,我也曾经在 G+ 上说过,多少年了,还是在三年级到初中的那段时间疯狂的迷过Verne,多少年的时间里因为学业,因为各种,再难爱上一位作家,再难爱上一段文字。而今年因为一本《解忧杂货铺》让我知道了东野圭吾,也打开了我认知的另一扇窗户。今年的近90本中有很大一部分都是东野的作品。而有趣的事,和东野的经历一样,让我们结识悬疑推理的经历竟然如此的相似,这一段经历可以参考《我的晃荡的青春》,东野的青春竟然也如此的淘气和真实。

而我从年初,从东野最著名的小说开始读《嫌疑人X的献身》、《白夜行》在到加贺恭一郎系列,再甚至到不怎么出名,甚至默默无闻的早期作品《以眨眼干杯》《沉睡森林》,再到毒舌三部曲《毒笑小说》《黑笑小说》《怪笑小说》,东野圭吾的书读不到尽头也几乎没有重复,这让我佩服的五体投地。

按时间排序读过

  • 解忧杂货铺 五星
  • 白夜行 五星
  • 空中杀人现场,短篇,四星
  • 嫌疑人X的献身,五星
  • 秘密 五星
  • 放学后 四星
  • 恶意 五星
  • 流星之绊 五星
  • 彷徨之刃 五星,强烈推荐
  • 幻夜 四星
  • 信 五星
  • 单恋 四星
  • 时生 四星
  • 名侦探的守则 四星
  • 圣女的救济 五星
  • 宿命 四星
  • 超杀人事件 五星,短篇可以看看
  • 名侦探的诅咒 四星
  • 浪花少年侦探团 四星
  • 再见了忍老师 四星
  • 十一字杀人 四星
  • 没有凶手的杀人夜 四星
  • 分身 四星
  • 同级生 四星
  • 只差一个谎言 四星
  • 祈祷落幕时 四星
  • 虚无的十字架 五星
  • 湖畔杀人事件 四星
  • 布鲁特斯的心脏 三星
  • 毒笑小说 五星
  • 从前我死去的家 四星
  • 新参者 五星
  • 黑笑小说 五星
  • 天空之蜂 四星
  • 美丽的凶器 四星
  • 濒死之眼 四星
  • 杀人之门 四星
  • 以眨眼干杯 四星
  • 毕业 四星
  • 学生街杀人 四星
  • 我的晃荡的青春 四星
  • 红手指 四星
  • 谁杀了她 四星
  • 怪人们 四星
  • 麒麟之翼 四星
  • 梦幻花 四星
  • 变身 五星
  • 假面饭店 四星
  • 天使之耳 五星
  • 沉睡的森林 四星

今年的书摘如果都放到这边可能有些多,甚至没有什么必要,有些内容经过整理和摘录,我都放到了 Evernote 。有些比较长的内容,也有格式化。

其他小说

  • 围城,毕竟有些年代,不过依然值得一读
  • 追风筝的人,带领我走进阿富汗
  • 灿烂千阳,追风筝同作者的书,依然讲述阿富汗的故事
  • 岛上书店,毕竟畅销书,明年可以按比例提高产销书比例

技术

但回头看自己今年的书单,深感技术类书籍占比略少,去年至少系统的看过 Bash,和基础 Linux,而今年除了看一些基础的 Java 知识,再没有系统地学习一项内容,除了年末恶补了一些 Spring MVC 和 Redis, HBase 的相关知识。因此在制定明年的计划时要讲技术书籍内容比例提高到10%左右,有些书值得反复阅读思考和实践,技术类的书既有消费品也有值得反复品味的内容。

今年读过的技术类书:

  • Effective Java 五星,所有Java编程者都应该读一读
  • Java 与 模式,稍显啰嗦,但是讲的非常细致
  • Maven 实战,熟悉 Maven 入门速成
  • Redis 入门指南,入门书籍,不讲求细节和实现原理
  • 其他的都没有完整的读完,明年一定要提高一定的比率。

摄影

而其他摄影的类:

  • 摄影师的视界,迈克尔弗里曼摄影构图与设计,讲构图的书,还是值得一看,只是还没有来得及实践
  • 穿透黑暗夜景和暗光摄影,匆匆读过,夜间摄影还是需要一些技巧
  • 昨天的中国,在学校法盟偶然遇见的一本纪实摄影,顶赞

设计

  • 设计准则,第一次参加读书会时借阅的书,讲到一些日常生活中的设计,当要装修的时候再参阅
  • 设计心理学

其他

  • 人在欧洲,真的是讲人在欧洲的一些见闻和思考感悟
  • 民主的细节,五星强烈推荐
  • One Billion Customers ,五星强烈推荐
  • 黑客与画家,其实早读过,今年又翻出来推荐给一些人
  • 乖,摸摸头,小故事,有人说的”鸡汤“
  • 秦始皇的秘密,也是听人推荐一口气读完的,当故事看吧
  • 断舍离,整理啊
  • 怦然心动的人生整理魔法 1,2 第一部比较笼统,第二部比较仔细,第二部中的衣服整理法则好好
  • 从你的全世界路过,畅销书,小故事看吧
  • TED 演讲的8个秘诀
  • 失控,大部头的书,好像就记得蜜蜂了。
  • 三人行,第一次见到那么排版的书籍, 针对同一个主题,两岸三地不同世界的人不同的故事。

还有一些就不列了。


2016-12-22 book , reading

更新隐私政策

今天突然收到 Google Play Store 发来的邮件通知,说违反社区准则,原因是没有隐私政策说明。全文如下:

Our records show that your app, {Application Name}, with package name {package name}, currently violates our User Data policy regarding Personal and Sensitive Information.

Policy issue: Google Play requires developers to provide a valid privacy policy when the app requests or handles sensitive user or device information. Your app requests sensitive permissions (e.g. camera, microphone, accounts, contacts, or phone) or user data, but does not include a valid privacy policy.

Action required: Include a link to a valid privacy policy on your app’s Store Listing page and within your app. You can find more information in our help center.

Alternatively, you may opt-out of this requirement by removing any requests for sensitive permissions or user data.

仔细研读几遍之后发现其实只要增加一条链接,说明一下隐私政策。其实主要的原因就是应用中使用到了 android.permission.GET_ACCOUNTS,android.permission.READ_CONTACTS 这俩权限,都是 Firebase SDK 里卖弄登陆要用到的。

仔细研究了一番 Google 的隐私政策Instagram 的隐私政策

然后随着大概意思拷贝了一份


2016-12-21 Privacy

pdnsd 使用

Pdnsd 是用来缓存本地DNS信息的 DNS 服务器。和 BIND 和 dnsmasq 相比,Pdnsd 在重启之后依然可以保存 DNS 缓存,名字中的 p 表示 persistent。

Installation

Ubuntu/Debian 系下使用如下命名安装:

sudo apt install pdnsd

Configuration

默认配置地址 /etc/pdnsd.conf

下面配置示例,后面的分号不可缺少。

配置示例:

global {                                                                        
        perm_cache=1024;        # 要缓存多少DNS信息                                                
        cache_dir="/var/pdnsd";                                                 
#       pid_file = /var/run/pdnsd.pid;                                          
        run_as="nobody";                                                        
        server_port = 1053;                                                      
        server_ip = 127.0.0.1;  # Use eth0 here if you want to allow other       
                                # machines on your network to query pdnsd.       
        status_ctl = on;                                                         
#       paranoid=on;       # This option reduces the chance of cache poisoning   
                           # but may make pdnsd less efficient, unfortunately.   
#       query_method=udp_tcp;                                                    
        query_method=tcp_only;  # 使用 TCP 方式去查询 DNS 服务器                                                 
        min_ttl=15m;       # Retain cached entries at least 15 minutes. 缓存 DNS 最短有效期         
        max_ttl=1w;        # One week. 缓存 DNS 信息最长有效期                                           
        timeout=10;        # Global timeout option (10 seconds).                 
        neg_domain_pol=on;                                                       
        udpbufsize=1024;   # Upper limit on the size of UDP messages.            
}                                                                                

server {                                                                         
    label= "googledns";                                                          
    ip = 8.8.8.8, 8.8.4.4;                                                       
    timeout=30;                                                                  
    interval=30;                                                                 
    root_server = on;                                                            
    uptest = ping;                                                               
    ping_timeout=50;                                                             
    purge_cache=off;                                                             
    exclude=.cn, .douban.com, .taobao.com                                         
}             

Pdnsd 读取配置时,优先级从上到下,上面的 DNS 服务器配置优先于下一层。

DNS servers

pdnsd 需要至少知道一个上游 DNS 服务器用来收集信息

  • label,用来标示服务器,随意,但最好写上服务器名字
  • ip,DNS 服务器地址,可以分多行,也可以使用逗号分割

/etc/resolve.conf 中指定了一些DNS服务器地址,在配置 pdnsd 的时候,修改为

nameserver 127.0.0.1

测试

启动 pdnsd 服务

/etc/init.d/pdnsd start 
nslookup www.douban.com 127.0.0.1

或者

dig @localhost -p port www.douban.com

如果返回正常,和 webdnstools 比照,则说明配置成功

清空本地缓存

sudo pdnsd-ctl dump   # Print information stored in the cache about name.
sudo pdnsd-ctl empty-cache

查看端口占用

sudo netstat -anp | more

pdnsd 只能优化 DNS 解析,并不能避免 DNS 污染

reference


2016-12-19 Linux , DNS , pdnsd

笔记整理法则

最近 Evernote, WizNote 纷纷宣布收费,一时间让我手足无措,原本按部就班的一些流程纷纷被打破。但是笔记和摘录总是那样的顺其自然,在翻看自己曾经摘录过得一些整理法则的时候,发现其中有些问题确实自己也已经犯下,在电脑玩物的《Evernote 超效率数位笔记术》书中,作者总结了“Evernote 用户最容易犯的10个错误[^1]”:

  1. 无目的的存储。收集资料的目的性是非常重要的,所谓的目的应该紧紧围绕自身的现实需要,如果漫无目的地搜集,将来使用到的几率是非常低的,对于你自身的提高和发展毫无裨益。
  2. 过度分散。这个可能在利用Evernote当做GTD执行系统中出现。
  3. 不愿意舍弃。参考“断舍离”整理法,需要放弃“把东西占为己有的观念”,现在能够收集到的有价值的资料一定会在网络上更新与流通保存,你一定能够在网络上再次找到需要用到的时候才去寻找,能够得到更新更准确的资料。不会过期的资料便是你自己的心得、感想、经验与故事。笔记本不是仓库,而是用于行动的工具,收纳的东西越少,你的人生就越轻松。
  4. 笔记之间不流动。可以参考建立笔记中枢的做法。
  5. 笔记方式太枯燥。有的时候拍照或者录音会更方便快捷。
  6. 没有在行动中使用
  7. 过度在意版面编排。需要专注于笔记内容,舍弃其他多余的东西。
  8. 停留在文档处理思维。放弃处理文档时候细琐、分散、独立的思维,需要更多的整理沟通。
  9. 没有把记忆交给Evernote。没有形成一有想法就记录下来的习惯,是没有办法真正释放记忆的压力,也就不用说用好Evernote了。
  10. 过度整理。笔记的整理时一个长期的过程,也需要根据自己的实际需要来增加或者删减内容,不需要苛求一开始就整理得漂亮详细,一切都需要根据实际需要来进行操作,目的是为了以后能够用到。如果不能用到,便是在做无用功。

对于这些错误,最严重的就是第一条,因为 Evernote 和 WizNote 的网摘插件实在太好用,在摘录了大片的内容之后,就忘记整理总结,躺在笔记本中就“死亡”了。幸而这些天这么折腾让我想起了那些笔记墓地,也正好抽出时间来整理一下。正像最后写的那样,”笔记是为了在以后用到,如果用不到,那便是在做无用功”。

建立合理的分类

早之前就总结过分类和标签,这两者在使用上还是有些区别的,最直观的区别就是一篇笔记只能属于一个分类,而可以归属于多个标签。分类是方便我们整理,而标签是便于我们检索和记忆,同样分类是给我们自己看的,而标签是给机器看的。因而建立一个合理的分类是非常必要的。之前看电脑玩物使用标签整理法,在我个人使用一段时间之后便放弃了,转而使用分类管理,而在过程中打上标签。

根据自己的使用,可以将笔记划分为不同的分类:

  • Notes 通用的未处理笔记,包括大部分文摘,网摘
  • Archive,归档,当笔记无法分类时,归到此类,处理完之后归档
  • 读书笔记,看书时做的记录,通常一本书一篇
  • 豆瓣影评,电影观后感,或者电影相关资料
  • 蜂窝游记,平时有些游玩准备,或者游记,图片之类
  • 微信收藏,微信公众号中值得看第二遍的内容
  • 我的邮件,通过邮件收藏的内容,通常由 InoReader 中内容发送过来
  • 购物清单,又包括许多子分类

等等分类,每篇文章,在未处理之前都在未分类中,在处理完之后都有自己的归属。

标签管理

这里使用购物清单来作比喻,对于使用记事本来做类似 TODO list 这样的事情来说,没有比使用标签来得更加方便的事情。大部分人可能已经习惯了 List 这样的 Todo 清单,但是对于一件需要长期进行的计划来说,单一的清单可能已经完全不能满足需求。因此才出现了 Trello 这样的多Board 的清单列表。而对于记事软件比如 Evernote 或者 Wiznote 来说,没有了 Trello 这样的多列待办清单,使用 Tag 来模拟也是可以轻易的实现的。

我的标签命名方式从电脑玩物学来,使用如下:

  • !01.GTD
  • !01.重要
  • !02.今日事
  • $02.Shopping
  • $01.想要
  • $02.调查
  • $03.不需要
  • $04.满足

对于这样的分类能够一目了然并且能轻松快速的找到想要的内容。而使用“!”这样的方式不仅增加了趣味,也让标签更加形象,”$” 就表示和购物相关。

而对于购物清单的子标签中分成想要,调查,不需要,满足四个标签,对于我自己,当在平时浏览网页,阅读RSS,或者好友推荐,甚至广告中获取某一个产品时,优先添加到想要的标签中。而第二个调查标签为自己在调查想要的产品时可能主动浏览或者搜索的重要内容。而调查的内容可能有两种归宿,一种是在调查过程中发现确实不需要,最后将内容添加到不需要中,另外一种就是为最后列出了需要购买的几点理由,而不得不买时,将内容拖到满足中,并完成购物。当且仅当物品出现在调查中,并且有几点强烈需求时才能将其拖入到满足中。

对于文档标题,使用物品内容+型号+价格来标识。对于同一件物品使用尽量同一个文档来保存。比如文档” Dji Marvic Pro 6999“ 在想要中记录。然后可能会调查他的摄像分辨率,飞行高度等等参数然后记录。当然最重要的是列出需要购买的理由,不单纯仅限于玩一玩啊。

reference

[^1]: http://www.haiyue.info/pc-player-evernote-taking-notes.html


2016-12-18 Evernote , WizNote

电子书

最近文章

  • MySQL 中的日志配置和管理 MySQL 中默认是没有开启日志记录的,所以需要手动修改配置文件开启日志。而在 MySQL 中我们需要关心的有三类日志:
  • Java 查漏补缺之:ThreadLocal 使用 ThreadLocal 线程本地变量,每个线程保存变量的副本,对副本的改动,对其他的线程而言是透明的。
  • 为知笔记导出和备份 WizNote 已经用了好几年,虽然也一直在续费,但总感觉将死不死,基于整理这几年近 4000 条的笔记的目的,也一方面为迁移出 WizNote 的目的,研究一下 WizNote 笔记导出和备份的方法。
  • Nginx location 匹配规则 之前的关于 Nginx Config 的文章是当时看 Nginx 书记录下来的笔记,很大略,没有实际操作,等终究用到 location 的时候发现还是有很多需要注意的问题,比如匹配的优先顺序,比如 root 和 alias 的区别等等,所以单独拿一篇文章来记录一下目前遇到的问题,并来解决一下。
  • koajs 简单使用 Koa 是一个背靠 Express 的团队设计的全新的 Web 框架,旨在使之成为一个更轻量,更丰富,更加 robust 的基础框架。通过促进异步方法的使用,Koa 允许使用者抛弃 callback 调用,并且大大简化了错误处理。Koa 并没有将中间件绑定到核心代码,而是提供了一组优雅的方法让编写服务更加快速,通过很多第三方的扩展给 Koa 提供服务,从而实现更加丰富完整的 HTTP server。