防火墙重定向80端口漏洞

去年冬天，防火我帮一家小型电商公司做安全巡检。墙重他们的定向端口运维人员很自信，说防火墙规则配得滴水不漏——只开放了443和22端口，漏洞80端口早就封了。防火我随手在浏览器里输入了他们的墙重域名，不加https，定向端口直接走http。漏洞页面没有跳转，防火也没有报错，墙重而是定向端口正常加载出了完整的商品列表。运维人员愣了两秒，漏洞说“不可能”。防火

问题出在防火墙的墙重“重定向”功能上。很多管理员以为，定向端口在规则里把80端口drop掉或者reject掉，就等于关上了这扇门。但实际情况是，如果防火墙同时配置了NAT（网络地址转换）或者端口转发规则，80端口的流量可能在到达过滤规则之前，就已经被重定向到了443。这个顺序很关键。防火墙处理数据包时，通常先做NAT，再做过滤。你写的“拒绝80”规则，作用在一个已经被改写成443的包上，自然拦不住。

更隐蔽的是，有些防火墙的Web管理界面会把“重定向”和“拒绝”混在一起显示。你看到一条“HTTP to HTTPS”的规则，以为它只是做跳转，实际上它可能同时放行了80端口的初始连接。那个电商公司的防火墙就是这种配置：一条NAT规则把80重定向到443，另一条安全策略里写着“允许80”，但管理员只看了安全策略，没注意NAT表里的条目。

我后来用nmap扫了一下他们的公网IP，80端口显示open。抓包看，客户端发起的TCP三次握手在80端口上完整建立了，然后服务器返回一个301，客户端再重新连443。这意味着攻击者完全可以利用这个80端口做事情——比如中间人攻击，在重定向之前注入恶意内容；或者直接对80端口发起DDoS，因为防火墙并没有真正丢弃这些包，只是转发了。

还有一种情况更麻烦：防火墙的“重定向”是隐式的。某些品牌（我不点名了）的默认配置里，只要启用了Web管理或者SSL VPN，就会自动在80端口上监听一个跳转服务。管理员在命令行里看到规则是空的，但实际端口已经开了。你问他，他说“我没配”，但系统自己配了。

要验证这个问题，别只看防火墙的Web界面。用iptables -t nat -L -n -v或者pfctl -s nat看NAT表，再用ss -tlnp看本机监听。如果80端口有进程在listen，那防火墙的重定向规则就是多余的，甚至是有害的。直接关掉那个监听进程，比在防火墙上写十条规则都管用。

那个电商公司最后怎么解决的？他们把NAT表里的80重定向规则删了，然后在安全策略里加了一条明确的“deny tcp any any eq 80”，并且放在所有允许规则之前。再扫，80端口显示filtered。运维人员说，原来之前一直以为“重定向”等于“安全跳转”，其实它只是“换个端口继续聊”。

这件事让我养成了一个习惯：每次看到防火墙配置里出现“redirect”或者“port forwarding”，我都会问一句——这个重定向的源端口，到底有没有被真正关闭？答案往往是否定的。