避免中间人 AWS 负载均衡器

Question

我有一个负载均衡器，配置了 ec2 服务器的端口 443 到端口 80，并且可以使用 Burtsuite 之类的嗅探器编辑请求。如何配置 ELB 以避免此类攻击？

例如，当我访问此脚本 /userprofile/Get.php 时，通过邮件发送 user_id 参数，并使用 Burtsuite 将此 user_id 修改为另一个。

Answer 1

以 HTTPS 而不是 HTTP 的形式运行 EC2 服务器，并让 ELB 将 443 传递给 443 而不是 80。

也就是说，如果他们可以进入您的内部网络来嗅探 ELB 和 EC2 之间的流量，您就会遇到更大的问题。

Answer 2

真正的解决办法是阻止 ELB 以外的任何人访问您的 EC2。这就是 AWS 的使用方式，您可以在此处找到所有信息。管理 Amazon EC2-Classic 中的安全组 - Elastic Load Balancing。安全组就是您这里的防火墙。

您可以在此处获得有关安全性的其他信息：亚马逊 Web 服务：安全概述