如题,有一些内网使用的自助终端(普通人进不了电脑桌面那种),作为运维人员,为了监控终端程序是否正常运行,打印机状态是否正常等,用 powershell 写了个脚本来上传状态信息以及上传前的界面截图。后台是自己用 flask 简单写的,都是接口,没有前端页面。 在这种情况下,flask 后台应对路由进行验证么?比如加 token 或者用户名密码之类的。我一直好奇,如果是纯接口,黑客能用工具扫描到对应路由和参数的吗?如果可以,大概原理是怎么样的呢?
1
PerFectTime 2022-09-18 15:04:34 +08:00
需要吧,你不能保证内网环境是完全安全的
|
2
illl 2022-09-18 15:16:19 +08:00 via iPhone
fuzz 呗
|
3
nielinjie 2022-09-18 17:41:15 +08:00
现在流行零信任。
|
4
pepesii 2022-09-18 23:33:13 +08:00
给开启 mtls 嘛,这样就完事了
|
5
lazyfighter 2022-09-19 09:05:53 +08:00
其实我觉得没啥卵用,在怎么鉴权, 你的鉴权信息都在服务器上面
|
6
Kinnice 2022-09-19 10:27:01 +08:00 via Android
内置 ca
|
8
873792861 OP 先用 Flask-HTTPAuth 但 basic 认证搞了下,这大概是自欺欺人吧
|