подделка $ _server ['remote_addr'] variable

обзор

$ _server ['remote_addr'] хранит IP -адрес клиента Это сделало текущий запрос. Удар или подделка, эта переменная может иметь решающее значение в определенных сценариях, таких как тестирование и разработка.

возможные решения

1. Ссылка на уровне сокета:

. Предполагая, что вы хотите подделать удаленно, вы можете поднять исходный IP-адрес, используя необработанные сокеты. Однако это нецелесообразно в PHP из-за его реализаций гнезда высокого уровня.

2. Компромисс Gateway: ]

. Благодаря компромиссу шлюза (например, маршрутизатора), вы можете выдать себя за клиента и управлять IP -адресом, который можно увидеть сервером. Это требует полного нарушения безопасности шлюза.

3. Ссылка Loopback:

формирование адреса Loopback (127.0.0.1) через TCP требует локальной машины или компромисса сервера. В этом случае фальсификация IP-адреса становится менее значимым.

соображения безопасности

] x-http-forwarded-for Заголовок:

некоторые фреймворки могут Проверьте заголовок X-HTTP-Forwarded-для поиска IP-адреса. Этим заголовком можно легко манипулировать, чтобы подделать удаленный IP -адрес. Чтобы смягчить это, убедитесь, что вы отключите его использование в Frameworks.

дополнительные ресурсы

]
• [Serverfault Вопрос] (https://serverfault.com/questions/474260/can-i- Control-the-server-request-remote-addr-parameter)
• [symantec article] (https://www.symantec.com/connect/articles/poofing-pients-ip-network-layer) &&&&]
[Linux Security Article] (https://linuxsecurity.com/blog/ip-spoofing-and-mitigation)

summary

подделка $ _server [' Remote_addr '] дистанционно может быть трудным и непрактичным в большинстве случаев. Обычно требуется компромисс для шлюза или эксплуатация локальной машины. Кроме того, будьте осторожны с использованием Frameworks, которые потенциально проверяют заголовок X-HTTP-Forwarded-для, поскольку он может подорвать проверку IP-адреса.

]