WCF服务w/BasicHttpBinding没有MEX端点可以被绝对陌生人利用？

Question

从我的理解：如果你没有MEX端点/ WSDL，你的服务基本上是不可发现的。只有了解您的数据合同的人才能够使用您的服务。

请问这种说法站得住脚，还是有办法在互联网的恶意居民们找出如何来调用没有MEX端点/消费服务？

编辑：正如安德鲁指出，这一战略不应该被认为是真正的安全。我更想知道在外部消费者的QA阶段是否可以安全地随机滥用。

Answer 1

取决于您的安全定义。这是一个默默无闻的安全情况，这对您的个人做清单服务可能很好，但对于金融应用程序来说却不可接受。

SOAP等不是/复杂的，所以黑客可以猜测一些输入是不是不可能的，尽管取决于服务，它可能是不太可能的（甚至在数学上不可行）。但是，如果您分发可能被反向设计的客户端，或者如果有人设法嗅探您的服务的合法使用，那么他们几乎肯定会利用它？

Answer 2

人们（黑客）使用端口嗅探器来查找有东西在聆听的端口。然后他们开始用数据进行探测并查看返回的结果。找出这是一个需要SOAP消息的端口并不需要太多工作。基本上返回的错误会告诉你很多。因此，默默无闻的安全性根本就不是安全的，你也可以发布URL。

的MEX一部分，只是有帮助别人创造的服务合同，从来没有要求。以REST或JSON服务为例，没有MEX端点的概念。