端口敲除 (Port Knocking) 和 URL 敲除 (URL Knocking) 有什么区别？

Question 1

URL 敲击持续读取 apache（或其他 Web 服务器）的日志，如果发现某个 URL（例如https://example.com/TheSecretStringHere/）绕过与服务器端预设的“TheSecretStringHere”字符串匹配的请求 URL，则只需通过打开对服务器端指定端口的访问来操纵防火墙规则即可。此解决方案无需任何第三方软件，只需使用操作系统实用程序即可安装。

这种方法的优点是，如果您使用https协议，那么它可以消除中间人监视者，因为实际 URL 是不可见的，因为它是加密的。另一个优点是，它很容易根据您的工作流程实施您自己的解决方案。

缺点——一切都基于实施。

在我提供的链接中，脚本使用
tail -f（利用）的有效功能不断读取 Web 服务器的日志通知内核文件更改通知）并使用过滤 URL grep。如果 URL 与秘密字符串匹配，则脚本触发某些操作。

还有一些额外的实用程序可以在用户空间中使用，比如inotifywait可以有效地监视 Web 服务器日志，如果有任何更改，则启动一些操作（可能不仅仅是打开端口）。

Port Knocking相比之下，通常是专用的第三方程序，并且没有中间人保护，但功能与相同URL Knocking。

总之，如果您设置了任何可以创建日志文件和支持的 Web 服务器，https那么 IMOURL Knocking是按需打开端口的更安全的方式。

URL 敲击示例（来自上面的链接）：

#!/bin/sh

open_port() {
    /sbin/iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 22  
    /sbin/iptables -I INPUT -p tcp --dport 22 -j ACCEPT
}

close_port() {
    /sbin/iptables -t nat -D PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 22 
    /sbin/iptables -D INPUT -p tcp --dport 22 -j ACCEPT 
}

tail -n0 --follow=name /var/log/apache2/access.log | 
(while read line; do 
    if echo $line | grep "/SOME SECRET THING/"; then
        echo OPEN
        open_port
        sleep 60
        echo CLOSE    
        close_port
    fi
done)

剧本归功于：杰森·斯帕谢特

Answer