Возможно ли подделка или захват содержимого переменной $_SERVER['REMOTE_ADDR'] ?
Я хотел бы подделать запрос с:
$_SERVER['REMOTE_ADDR']='127.0.0.1';
Как я могу сделать это с помощью PHP? Может ли CURL это сделать?
Я предполагаю, что вы имеете в виду подделку его дистанционно. Короткий ответ – да, вы можете. Длинный ответ о том, насколько это легко, зависит от того, как вы хотите подделать его.
Если вы не хотите получать ответ, это так же просто, как открытие сырого сокета для адресата и подделка исходного IP-адреса. Я не уверен, что это действительно легко сделать в PHP, поскольку все реализации PHP-сокетов находятся на уровне TCP или выше. Но я уверен, что это возможно. Теперь, поскольку вы не контролируете сеть, ответ не вернется к вам. Это означает, что вы не можете (надежно, в любом случае) создать TCP-соединение через тривиальный поддельный TCP-заголовок (поскольку syn-ack предотвращает это, требуя двусторонней связи).
Однако, если вы можете скомпрометировать шлюз, на котором отключен IP-адрес, вы можете делать все, что хотите. Поэтому, если вы нарушаете Wi-Fi-маршрутизатор, к которому подключен компьютер, вы можете притворяться, что этот компьютер, и сервер не скажет разницы. Если вы нарушаете исходящий маршрутизатор ISP, вы можете (по крайней мере теоретически) претендовать на компьютер, и сервер не скажет разницы.
Для получения дополнительной информации см. Следующие ссылки:
Тем не менее, вы сможете создавать только кольцевой адрес 127.0.0.1 в TCP, если вы на самом деле компрометируете локальный компьютер / сервер. И в этот момент это действительно имеет значение?
Если вы используете фреймворк для доступа к этой информации, будьте абсолютно уверены, что он не проверяет заголовок X-HTTP-FORWARDED-FOR ! Иначе тривиально подделывать IP-адрес. Например, если вы используете метод Zend_Controller_Request_Http::getClientIp Zend Framework , будьте абсолютно уверены, что вы передадите значение false в качестве параметра! В противном случае кому-то просто нужно отправить HTTP-заголовок: X-Http-Forwarded-For: 127.0.0.1 и теперь они кажутся локальными! Это один случай, когда использование фреймворка без понимания того, как он работает в бэкэнде, может быть действительно плохим …
Недавно я написал сообщение в блоге о том, как я наткнулся на уязвимость в приложении StackOverflow. Это очень актуально здесь, поскольку он использует очень похожий механизм для того, что ищет этот вопрос (хотя обстоятельства вокруг него несколько узкие):
Как я взломал StackOverflow
Удаленный адрес не является чем-то добавленным из вежливости, он используется в протоколе IP для маршрутизации пакетов, поэтому, если вы отправляете пакет с поддельным адресом , вы не получите ответ, и, поскольку вы говорите об HTTP-запросе, который поставляется по TCP-соединению, для которого требуется несколько IP-пакетов (и соответствующих ответов):
Нет, это невозможно (за исключением, конечно, отправки запроса от одного хоста через интерфейс loopback).
Apache заполняет $_SERVER['REMOTE_ADDR'] из сокета TCP, который он использует для связи с вашим браузером. НЕВОЗМОЖНО влиять на эту переменную через открытый интернет из -за трехстороннего рукопожатия . Если клиент и сервер находятся в широковещательной сети, например Wi-Fi, вы можете обнюхать провод и завершить рукопожатие.
Вы можете перезаписать любой элемент в массиве $_SERVER , включая тот, который вы упоминаете, на вашем сервере; конечно, не в чужом.
Однако он не изменит IP-адрес вашего компьютера.
Если вы просматриваете через прокси-сервер, $_SERVER['REMOTE_ADDR'] может быть установлен на IP-адрес прокси, а не на конечный пользователь.
Существуют и другие заголовки, которые вы можете использовать в этом случае: на этой странице представлена функция, которая проверяет все возможности и предоставляет адрес, который, скорее всего, будет конечным пользователем:
http://roshanbh.com.np/2007/12/getting-real-ip-address-in-php.html
Однако, если пользователь использует прокси-сервер с плохо настроенным прокси-сервером или вредоносный, или один, предназначенный для анонимности конечного пользователя, то вы не сможете гарантировать какие-либо из заголовков, кроме REMOTE_ADDR (что приведет вас только к как прокси).
Если ваш конечный пользователь просматривает через HTTPS, то REMOTE_ADDR всегда будет его IP-адресом; вы не можете использовать перенаправление прокси через HTTPS. Таким образом, единственный способ быть абсолютно уверенным в его адресе – заставить его открыть свой сайт в HTTPS.
REMOTE_ADDR
IP-адрес, с которого пользователь просматривает текущую страницу.
Вы можете запросить скрипт с использованием прокси и т. Д., Чтобы изменить IP-адрес, но вы не можете установить там какой-либо текст.
Это переменная, установленная apache или любым другим сервером, который вы используете. Вы не можете подделать это. Вы можете запустить $_SERVER['REMOTE_ADDR']='127.0.0.1'; в начале скриптов, но я сомневаюсь, что вы пытаетесь сделать