0

假设我们在https://mycompany.com/Service上托管了一些网络服务， 例如 https://mycompany.com/Service/Service1 https://mycompany.com/Service/Service2 https://mycompany.com/Service /服务3

正如您在 mycompany.com 上看到的，我们托管了 3 个 Web 服务，每个都有其不同的 url。我们拥有的是一个 Jboss 实例，其中部署了 3 个不同的 web 战争。当有人点击该服务时，它会通过我们的防火墙，然后负载均衡器会重定向到所需路径上端口 8080 上的 Jboss 并得到服务。

这 3 项服务由 3 个不同的客户端使用。我的问题是，如果说 Client1 使用 Service 1 只给出了与其对应的 url，他们是否可以使用某种扫描仪，该扫描仪也可以通知他们 Service2 和 Service3 在 mycompany.com/Service 上也可用？

无论客户端如何 - 任何人都可以简单地使用一些扫描工具来识别主机上暴露的服务端点吗？请注意，它们是部署在同一 Jboss 实例上的 SOAP (WSDL) 和基于 Rest 的服务的混合体。

4

1 回答 1

0

是的，有人可以扫描这些端点。他们的扫描器会在您的日志中生成一堆 404，因为它必须猜测其他 URL。如果您有某种速率限制防火墙，则可能需要很长时间。无论如何，您应该定期检查日志。

如果你将你的 URL 暴露在公共互联网上，依靠人们没有发现它只是通过默默无闻的安全。您应该使用应用程序级别的安全性来保护每个 URL，并假设坏人已经拥有该 URL。

您可能需要考虑为单独的应用程序添加子域（例如 service1.mycompany.com、service2.mycompany.com）——这将使防火墙更容易。

于 2013-11-27T14:53:33.687 回答