WCF服務w/BasicHttpBinding沒有MEX端點可以被絕對陌生人利用？

Question

從我的理解：如果你沒有MEX端點/ WSDL，你的服務基本上是不可發現的。只有瞭解您的數據合同的人才能夠使用您的服務。

請問這種說法站得住腳，還是有辦法在互聯網的惡意居民們找出如何來調用沒有MEX端點/消費服務？

編輯：正如安德魯指出，這一戰略不應該被認爲是真正的安全。我更想知道在外部消費者的QA階段是否可以安全地隨機濫用。

Answer 1

取決於您的安全定義。這是一個默默無聞的安全情況，這對您的個人做清單服務可能很好，但對於金融應用程序來說卻不可接受。

SOAP等不是/複雜的，所以黑客可以猜測一些輸入是不是不可能的，儘管取決於服務，它可能是不太可能的（甚至在數學上不可行）。但是，如果您分發可能被反向設計的客戶端，或者如果有人設法嗅探您的服務的合法使用，那麼他們幾乎肯定會利用它？

Answer 2

人們（黑客）使用端口嗅探器來查找有東西在聆聽的端口。然後他們開始用數據進行探測並查看返回的結果。找出這是一個需要SOAP消息的端口並不需要太多工作。基本上返回的錯誤會告訴你很多。因此，默默無聞的安全性根本就不是安全的，你也可以發佈URL。

的MEX一部分，只是有幫助別人創造的服務合同，從來沒有要求。以REST或JSON服務爲例，沒有MEX端點的概念。