端口80安全风险

-1

假设我制作了一个简单的网页，其中只说“ hello world”，没有按钮，没有任何形式，只有纯文本。现在，我将该计算机的专用IP地址通过服务器的端口80转发到我的路由器，以便现在用户可以在世界上任何地方键入我的公共IP地址并读取我的“ hello world”。有哪些安全风险？我知道Web编程中存在许多安全风险，例如包含攻击，SQL注入攻击，点击劫持和target =“ _ blank”攻击，但是这个hello世界站点只是纯文本。那有什么风险呢？

security port-forwarding internet-security

— 亚当
source

风险是http守护程序本身的安全漏洞。

— Ipor Sircer '17

您现在容易受到拒绝服务（DoS）攻击；网页请求和崩溃可能使您的系统不堪重负。

— Hydraxan17年

@ Hydraxan14您可以DOS打开任何端口。

— Ramhound

@Ramhound ...是吗？他仅表示端口80已转发。其余端口仍然安全地位于NAT之后。任何其他端口上的DoS可能是对其路由器的攻击，这在设置此Web服务器之前是可能的。

— Hydraxan14

要对服务执行DoS攻击，您需要能够连接到服务。只是使整个连接不堪重负，实际上并不需要这样做。因此，这一点几乎没有意义。您可以轻松使大多数家庭Internet连接饱和。

— Daniel B

Answers:

如果在端口80上侦听/绑定，则需要功能CAP_NET_BIND_SERVICE（绑定到端口<1024）。传统上，只允许root / admin用户使用（这是一个很大的安全性问题）。

但是，在现代Linux上，您可以以无特权，特殊目的的用户身份运行它，并为服务器提供此功能。

您还可以设置防火墙以限制每秒连接数。（以减少DOS）。

您可以在Linux上将其放入容器（例如docker）中，以限制其使用的系统资源。

— CTRL-ALT-delor
source

绑定到特权端口后删除特权早已成为惯例。因此，这并不是真正的问题。

— Daniel B

@DanielB功能是新的。您不再需要所有强大的根。因此，请使用功能，并在不再需要时将其删除。

— ctrl-alt-delor

新的，是的。我的观点是，即使没有能力，你可以删除不需要的正常运行（即任何所有特权，但结合到港）后，才接受连接。当然，有了功能，您可以从少得多的特权开始，从而进一步减少攻击面。

— Daniel B

通过设置该转发，您可以使Internet主机直接连接到您的计算机。

这样，您可以通过Web服务器提供的任何功能来增加直接攻击面。如果存在可以由简单请求触发的错误，则该错误不会受到直接攻击。另外，您将根据Web服务器在其他标头中发送的信息，向可能的攻击者提供有关系统的其他信息。

这样的信息的示例可以是Server标题，该标题将包括关于所使用的服务器软件的信息，或者X-Powered-By标题可以包括关于所使用的PHP版本和可能的OS的信息。

— 赛斯
source