security - 阻止 HTTP 流量到 80 以外的端口是否有有效的理由？

Question

我使用默认端口安装了 TomCat：8080。托管的应用程序开始得到一些重要的使用。今天我收到一封来自其他人的电子邮件，他说他们的网络安全规则不允许他们访问任何不在端口 80 上的 Web 服务器。

我通过在端口 80 和 8080 上运行 TomCat 解决了这个问题，但是，我一直在想这个“安全规则”是多么愚蠢。显然，有害服务器可以在任何端口上运行，包括端口 80。在端口 80 上运行服务器是否会使其更可靠？我假设这条规则是在很久以前创建的，当时有人发现在非 80 端口上运行的恶意服务器，并决定防止这种情况的最佳方法是阻止所有不在端口 80 上的 HTTP 服务器。词：不恰当的过度概括。

也许我根本没有意识到这一点，但是限制用户只能访问端口 80 上的 Web 服务器是否有一些合理的理由？

Answer 1

过去，使用高端口 Web 服务器进行网络钓鱼/网络钓鱼攻击的风险较高，尽管如今这确实不是问题。原因是为了将监听套接字绑定到 *nix 机器上的低阶端口，您必须是 root。没有 root 的攻击者可以进行网络钓鱼或以其他方式引导用户将浏览器指向恶意侦听套接字并接收有效负载。这些天来，描述的场景很少发生。

管理员过去也有可能试图阻止用户连接到代理。代理通常在端口 8080 上侦听 Web 请求。如果您的组织有可以通过拥有此规则来遵守的政策，那么这可能就是它存在的原因。

我个人认为该规则是一种烦恼，而不是有效的过滤器。现在有很多更好的工具可以进行智能过滤，因此您不必依靠诸如将 HTTP 限制在端口 80 之类的晦涩技巧来依赖安全性。