解决彩虹易支付容器部署-全网独家

已于 2023-11-17 23:56:24 修改
阅读量251 收藏
点赞数
文章标签： 系统安全 容器 安全架构
于 2023-11-17 23:55:06 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wu858773457/article/details/134472728
版权

image-20231115161509264

前言 除了已封装好的镜像为付费内容，其他内容为免费。

一、背景

最近集团年底前要求下架所有centos，系统不定期可能更换，还是容器方便。网上一大堆的宝塔方案，太重，不合适。

支付系统，安全第一(含底层操作系统)，还是容器方便 ^_-

二、思路

image-20231115171113305

三、开刀

3.1打镜像

建议官方购买原代码

3.2容器非root运行
3.2.1方案一
cat <<EOF > Dockerfile
# support not root 
ENV NON_ROOT_USER=wwj
ENV NON_ROOT_GID="103" \\
    NON_ROOT_UID="1003" \\
    NON_ROOT_WORK_DIR=/opt/local/\${NON_ROOT_USER} \\
    NON_ROOT_HOME_DIR=/home/\${NON_ROOT_USER}
RUN groupadd -g 65532 nonroot && useradd -m -s \${NON_ROOT_HOME_DIR} -u 65532 \${NON_ROOT_USER} -g nonroot
​
#Add permission to non-root user 
RUN chmod -R g+wx /usr/local/openresty/nginx/logs/ && \\
    mkdir -p /opt/local && \\
    chmod -R g+wx /opt/local/ && \\
    chown -R \${NON_ROOT_GID}:\${NON_ROOT_UID} /opt/local/
    
    
## 注意 ,避免文件引用导致镜像大。放在在copy操作后(这里/usr/src/rainbow-pay 是上面的解压文件，如放COPY前，镜像会变大)   
RUN chmod -R g+wx /usr/local/openresty /usr/src/rainbow-pay && \
  chown -R \${NON_ROOT_USER} /usr/local/openresty /usr/src/rainbow-pay && \
  chmod 777 /run /dev/stdout && \ 
  chmod -R 777 /var/run/openresty
​
# 避免root用户运行。或者用entrypoint.sh+gosu实现(登录后是root，运行是非root) ！！！！重点是这里
USER \${NON_ROOT_USER}
​
EOF
3.2.2方案二
cat <<EOF > Dockerfile
​
​
# support not root 
ENV NON_ROOT_USER=wwj
ENV NON_ROOT_GID="103" \\
    NON_ROOT_UID="1003" \\
    NON_ROOT_WORK_DIR=/opt/local/\${NON_ROOT_USER} \\
    NON_ROOT_HOME_DIR=/home/\${NON_ROOT_USER}
RUN groupadd -g 65532 nonroot && useradd -m -s \${NON_ROOT_HOME_DIR} -u 65532 \${NON_ROOT_USER} -g nonroot
​
​
# support  /usr/local/bin/gosu command,配合entrypoint.sh里的exec /usr/local/bin/gosu使用
ENV GOSU_VERSION 1.17
RUN set -eux; \\
    \\
    apk add --no-cache --virtual .gosu-deps \\
        ca-certificates \\
        dpkg \\
        gnupg \\
    ; \\
    \\
    dpkgArch="\$(dpkg --print-architecture | awk -F- '{ print \$NF }')"; \\
    wget -O /usr/local/bin/gosu "https://github.com/tianon/gosu/releases/download/\$GOSU_VERSION/gosu-\$dpkgArch"; \\
    wget -O /usr/local/bin/gosu.asc "https://github.com/tianon/gosu/releases/download/\$GOSU_VERSION/gosu-\$dpkgArch.asc"; \\
# verify the signature
    export GNUPGHOME="\$(mktemp -d)"; \\
    gpg --batch --keyserver hkps://keys.openpgp.org --recv-keys B42F6819007F00F88E364FD4036A9C25BF357DD4; \\
    gpg --batch --verify /usr/local/bin/gosu.asc /usr/local/bin/gosu; \\
    command -v gpgconf && gpgconf --kill all || :; \\
    rm -rf "\$GNUPGHOME" /usr/local/bin/gosu.asc; \\
    \\
# clean up fetch dependencies
    apk del --no-network .gosu-deps; \\
    \\
    chmod +x /usr/local/bin/gosu; \\
# verify that the binary works
    gosu --version; \\
    gosu nobody true
    
​
#RUN chmod +x /entrypoint.sh
#ENTRYPOINT [ "/entrypoint.sh" ]
​
# 建议方式，不需要上面的 chmod +x
ENTRYPOINT ["sh", "/entrypoint.sh"]
​
EOF
​
​
## entrypoint.sh
cat <<EOF > entrypoint.sh
#!/bin/bash
​
# terminate on errors 如果出现命令执行失败，那么就应该退出脚本不继续往下执行，避免失败对后续有影响。可以避免操作失败还继续往下执行的问题
set -e
# set file Permission
# 获取主机用户id
#USER_ID=\${LOCAL_USER_ID:-5555}
## 给主机用户授权制定的非绑定挂载目录
#chown -R \$USER_ID /usr/src/rainbow-pay /usr/local/openresty/nginx/logs/ /usr/local/openresty /usr/bin /etc/supervisor /run /dev /usr/local/openresty/nginx
#
## 创建和主机用户相同uid的用户，名为op
#useradd --shell /bin/bash -u \$USER_ID -o -c "" -m op
#usermod -a -G root op
#export HOME=/home/op
​
exec /usr/local/bin/gosu \${NON_ROOT_USER} "\$@"   # ！！！！重点是这里,gosu可以实现程序非root运行
​
#exec "\$@"
​
EOF
​

四、问题处理

4.1Permission denied

image-20231115190200076

/usr/local/openresty/nginx/logs/error.log" failed (13: Permission denied)

解决方案: 检查docker-compose挂载的logs目录权限 chmod 755 -R logs

4.2fpm没启动
fpm没启动！
NOTICE: [pool www] 'user' directive is ignored when FPM is not running as root
NOTICE: [pool www] 'group' directive is ignored when FPM is not running as root

解决方案：fpm-pool.conf 指定user+group

4.3改不了admin密码
4.3.1排查：

  • 初始表+admin默认密码已完成

    image-20231115173018104

  • 密码改完没反映

    image-20231115190510136

    image-20231115190742015

  • 新增不了商户

    image-20231115191010254

  • 数据库直接改密码，新密码能登录

    image-20231115173443627

4.3.2思路：

  • 容器启动权限问题？

    • 还原容器最大权限root启动 --> 问题依旧

  • 目前问题？

    • 涉及目录都设置777 --> 问题依旧

  • 找资料debug nginx + php日志 --> 无解

  • 打印nginx内置变量 --> 无解

  • php源码调试 --> 解决

五、切入点

观察修改密码界面url

https://xx.com/admin/set.php?mod=account

找到源码/admin/set.php，includes/functions.php

image-20231115192342786

  • set.php-打印 HTTP_REFERER

[//]: # (204行打印array)
    echo '<pre>';
    print_r($_SERVER);
​
[//]: # (结果)
Array
(
    [PATH] => /usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/local/openresty/luajit/bin:/usr/local/openresty/nginx/sbin:/usr/local/openresty/bin:/usr/local/openresty/openssl/bin
    [HOSTNAME] => de8628c4e65b
    [DB_USER] => raixx-pay
    [WORDPRESS_SITE_URL] => http://localhost:8123
    [FS_METHOD] => direct
    [DB_HOST] => raninxx-db
    [DB_PASSWORD] => ResxxsdjYd
    [DB_NAME] => rainbow-pay
    [NON_ROOT_USER] => xx
    [NON_ROOT_GID] => 103
    [NON_ROOT_UID] => 1003
    [NON_ROOT_WORK_DIR] => /opt/local/xx
    [NON_ROOT_HOME_DIR] => /home/xx
    [HOME] => /
    [SUPERVISOR_ENABLED] => 1
    [SUPERVISOR_PROCESS_NAME] => php-fpm
    [SUPERVISOR_GROUP_NAME] => php-fpm
    [USER] => nobody
    [HTTP_COOKIE] => admin_token=3f42J9JlfRLiP%2B2TTfS1kxxxSxVWRmvbpqYYfChZJKlQfwhbEYcOkIRsj%2F0AlDz28RsytVf4b7byatz0jZ; PHPSESSID=os7udc5fqaaodon46qqcsdfbnl; cf_clearance=GGNlfoPwd4sXJz9Kf4l9i5Lyi0obFqHFfrlWxA.QJrA-1700032904-0-1-7a7512ae.2a1a34f6.c9b678d6-0.2.1700032904
    [HTTP_CDN_LOOP] => cloudflare
    [HTTP_PRIORITY] => u=0, i
    [HTTP_ACCEPT_LANGUAGE] => zh-CN,zh;q=0.9
    [HTTP_REFERER] => https://xx.com/admin/set.php?mod=account
    [HTTP_SEC_FETCH_DEST] => document
    [HTTP_SEC_FETCH_USER] => ?1
    [HTTP_SEC_FETCH_MODE] => navigate
    [HTTP_SEC_FETCH_SITE] => same-origin
    [HTTP_ACCEPT] => text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
    [HTTP_USER_AGENT] => Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/118.0.0.0 Safari/537.36
    [HTTP_CONTENT_TYPE] => application/x-www-form-urlencoded
    [HTTP_ORIGIN] => https://xx.com
    [HTTP_UPGRADE_INSECURE_REQUESTS] => 1
    [HTTP_SEC_CH_UA_PLATFORM] => "Windows"
    [HTTP_SEC_CH_UA_MOBILE] => ?0
    [HTTP_SEC_CH_UA] => "Chromium";v="118", "Google Chrome";v="118", "Not=A?Brand";v="99"
    [HTTP_CACHE_CONTROL] => no-cache
    [HTTP_PRAGMA] => no-cache
    [HTTP_CF_VISITOR] => {"scheme":"https"}
    [HTTP_X_FORWARDED_PROTO] => https
    [HTTP_CF_RAY] => 8265bFRA
    [HTTP_ACCEPT_ENCODING] => gzip
    [HTTP_CF_IPCOUNTRY] => CN
    [HTTP_CF_CONNECTING_IP] => 39.xx.45.xx
    [HTTP_CONTENT_LENGTH] => 79
    [HTTP_HOST] => rainbow-pay
    [HTTP_X_FORWARDED_FOR] => 172.70.247.85
    [HTTP_CONNECTION] => close
    [REDIRECT_STATUS] => 200
    [SERVER_NAME] => _
    [SERVER_PORT] => 80
    [SERVER_ADDR] => 172.18.0.7
    [REMOTE_PORT] => 37340
    [REMOTE_ADDR] => 172.18.0.5
    [SERVER_SOFTWARE] => nginx/1.21.4
    [GATEWAY_INTERFACE] => CGI/1.1
    [REQUEST_SCHEME] => http
    [SERVER_PROTOCOL] => HTTP/1.1
    [DOCUMENT_ROOT] => /usr/src/rxxw-pay
    [DOCUMENT_URI] => /admin/set.php
    [REQUEST_URI] => /admin/set.php?mod=account_n
    [SCRIPT_NAME] => /admin/set.php
    [CONTENT_LENGTH] => 79
    [CONTENT_TYPE] => application/x-www-form-urlencoded
    [REQUEST_METHOD] => POST
    [QUERY_STRING] => mod=account_n
    [PATH_TRANSLATED] => /usr/src/rainbow-pay
    [PATH_INFO] => 
    [SCRIPT_FILENAME] => /usr/src/rxxw-pay/admin/set.php
    [FCGI_ROLE] => RESPONDER
    [PHP_SELF] => /admin/set.php
    [REQUEST_TIME_FLOAT] => 1700032918.2238
    [REQUEST_TIME] => 1700032918
)

  • set.php-打印parse_url

[//]: # (204行打印array)
    echo '<pre>';
    print_r(parse_url($_SERVER['HTTP_REFERER']));
​
[//]: # (结果)
Array
(
    [scheme] => https
    [host] => pay.xx.com
    [path] => /admin/set.php
    [query] => mod=account
)
5.1根因

解决彩虹易支付容器部署-全网独家-全文icon-default.png?t=N7T8https://mp.weixin.qq.com/s?__biz=MzA4OTQ0MjA1Ng==&mid=2651269347&idx=1&sn=8ba69183b82c124bd7b6b3df9182ef48&chksm=8be95a84bc9ed39241d6ef2498b3b6a4cceae3ba557a954bdff3408d6ee49baa21919a117bc5&payreadticket=HLL8sFtrzHOS1GFxiyqq21UKtIqF06XL33qzpEiz2KTgtvyaR1IEkCaU52pb1HZPiLQ9NAY#rd

wu858773457
关注
URL Scheme 使用过程中遇到的问题以及解决方案
weixin_33672109的博客
08-15 1564
2019独角兽企业重金招聘Python工程师标准>>> ...
彩虹易支付-docker版
最新发布
zqqfives的博客
07-10 366
主要是修改文件，下面是一些字段解释中的为docker容器名，如有特殊请自行修改nginx的修改，请自行研究services:nginx:ports: # 如果外部有端口冲突 请修改此项- "1080:80" # 将 容器内的 80 端口 映射到外部 1080- "1443:443" # 将 容器内的 443 端口 映射到外部 1443volumes:- phpphp:build: .volumes:db:image: mysql:5.7 # mysql 版本。
彩虹易支付接口配置
漫游游的博客
04-06 1987
彩虹易支付系统有强大的支付接口扩展能力，首先需要明白以下几个概念。
配置云函数，生成URLSchema跳转小程序所遇到报错
L1147484597的博客
04-15 518
1.云函数配置报错 出现这样的错误一般就是云函数中小程序的参数报错 2.传递的参数拼接报错 这种一般就是拼接的参数格式不对，或者含有中文（这个很重要） 正确的格式，不能包含中文！！！ a=1&b=2&c=3 如果必须要含有中文的话，有以下两种办法： 1、querystring 2、 ...
小程序 URL Scheme
maywillhappy的博客
02-20 4607
踩坑日记 1.在微信公众平台上生成的URL Scheme 是不能在微信种打开的，会报 '对不起，该页面无法打开'，必须要到短信里才能打开（ios） 2.从短信中直接跳到小程序的H5页面，即跳到webview页面也是可以的。如图，只要页面能接到参数就行（一定要分布过的小程序页面），参数形式为key=value key1=value1&key2=value2 3.小程序的登录规则依然沿用之前一样的规则（根据业务场景而定） 4.待增加 ...
彩虹易支付USDT-TRC20支付收款插件.zip
03-16
一款适用于原版彩虹易支付的USDT（TRC20）收款插件，收到的货币直接到自己钱包，不经过任何第三方。 本源码仅供个人学习研究所用，任何人或组织用作他用，产生的任何后果 责任自负。 1. 新增一种支付方式，调用值...
彩虹易支付USDT支付插件 - 方便快捷的支付方式
04-08
彩虹易支付USDT支付插件 - 方便快捷的支付方式 彩虹易支付USDT支付插件是一种方便快捷的支付方式，可以帮助用户在网上购物或进行交易时更加便捷地完成支付。USDT（Tether）是一种基于区块链技术的加密货币，与传统...
彩虹易支付USDT-TRC20支付收款插件
03-28
一款适用于原版彩虹易支付的USDT（TRC20）收款插件，收到的货币直接到自己钱包，不经过任何第三方。 本源码仅供个人学习研究所用，任何人或组织用作他用，产生的任何后果 责任自负。 1. 新增一种支付方式，调用值...
最新彩虹易支付源码 + 教程
08-07
需要的工具工具： 1.浏览器 2.一台服务器或者主机 ...图片[1]-最新彩虹易支付源码 + 教程-亚盟酒吧资源网 图片[2]-最新彩虹易支付源码 + 教程-亚盟酒吧资源网图片[3]-最新彩虹易支付源码 + 教程-亚盟酒吧资源网
2024年3月份最新彩虹易支付源码亲测可用无加密可二开
04-27
彩虹易支付源码，作为2024年3月份发布的最新版本，是一款备受瞩目的在线支付解决方案。这款源码集成了丰富的功能，旨在提供高效、安全且易于二次开发的支付服务。在深入探讨其特点之前，我们先来了解一下什么是彩虹...
HTTP协议
molu1991的博客
04-03 3072
HTTP协议：是W3C制定的一种超文本传输协议。（通信协议：发送消息的模板提前被制定好。） 超文本说的就是：不是普通文本，比如流媒体：声音、视频、图片等。 HTTP协议支持：不但可以传送普通字符串，同样支持传递声音、视频、图片等流媒体信息。 这种协议游走在B和S之间。B向S发数据要遵循HTTP协议。S向B发数据同样需要遵循HTTP协议。这样B和S才能解耦合。（解耦合：B不依赖S，S也不依赖B。） B/S表示：B/S结构的系统（浏览器访问WEB服务器的系统） 浏览
【web安全】——HTTP请求头注入
Demo不是emo的博客
01-10 4819
http请求头注入操作
Android URL scheme跳转失败（源码实现&排查思路&知识拓展）
云瀚的自习室
08-28 3002
App A的Activity A通过scheme跳转至App B的Activity B，跳转失败。解法涉及包可见性、scheme、兼容性和targetSDKVersion的知识点。
Safari浏览器打不开该网址，因为网址无效（解决办法）
meis27461的博客
09-08 6503
URL Scheme会导致这个问题，换成Universal link就可以了，比较灵活。但是Universal link需要申请。
在Wampserver64环境下ThinkPHP 8.0的部署
2301_76402133的博客
04-14 706
这是要选择php文件，点击browse...后在你的Wampserver64文件中找php文件，Wampserver64中的php文件一般在wamp64中的bin，点开后是这样的。然后一直点next就行了，点完之后他这个软件是默认没有快捷方式的，需要你使用windos系统cmd命令来使用。接着你要在你Wampserver64中的www目录下建立一个名为tp8的文件夹。主机名随便起一个就ok，虚拟主机站点目录为你tp8文件下的public，点击创建，重启DNS服务，点开你的虚拟机是这样的：就代表对了。
iOS通过URL Scheme冷启动唤醒APP后操作失败
秋枫
03-15 524
冷启动唤醒后进行操作无效,其实是控制器还未创建完成,给通知添加延时即可。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

wu858773457

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值