admin 管理员组文章数量: 1086019
获取用户Ip地址常见安全隐患及解决办法
-
分析过程
这个来自一些项目中，获取用户Ip，进行用户操作行为的记录，是常见并且经常使用的。 一般朋友，都会看到如下通用获取IP地址方法。
function getIP() { if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { $realip = $_SERVER['HTTP_X_FORWARDED_FOR']; } elseif (isset($_SERVER['HTTP_CLIENT_IP'])) { $realip = $_SERVER['HTTP_CLIENT_IP']; } else { $realip = $_SERVER['REMOTE_ADDR']; } return $realip; } 这个是网上常见获取，ip函数，用这些值获取IP,我们首先要弄清楚，这些数据是从那个地方传过来的。
-
IP获取来源
1.’REMOTE_ADDR’ 是远端IP，默认来自tcp 连接是，客户端的Ip。可以说，它最准确，确定是，只会得到直接连服务器客户端IP。如果对方通过代理服务器上网，就发现。获取到的是代理服务器IP了。
如：a->b(proxy)->c ,如果c 通过’REMOTE_ADDR’ ，只能获取到b的IP,获取不到a的IP了。
另外:该IP想篡改将很难实现，在传递知道生成php server值，都是直接生成的。
2.’HTTP_X_FORWARDED_FOR’，’HTTP_CLIENT_IP’ 为了能在大型网络中，获取到最原始用户IP，或者代理IP地址。对HTTp协议进行扩展。定义了实体头。
HTTP_X_FORWARDED_FOR = clientip,proxy1,proxy2 所有IP用”,”分割。 HTTP_CLIENT_IP 在高级匿名代理中，这个代表了代理服务器IP。既然是http协议扩展一个实体头，并且这个值对于传入端是信任的，信任传入方按照规则格式输入的。以下以x_forword_for例子加以说明，正常情况下，这个值变化过程。
-
分析Bug风险点：
通过刚刚分析我们发现，其实这些变量，来自http请求的：x-forword-for字段，以及client-ip字段。 正常代理服务器，当然会按rfc规范来传入这些值。但是，当一个用户直接构造该x-forword-for值，发送给用户用户，那将会怎么样呢？
图（1）
第2步，修改x-forword-fox值，我们看看结果
第三步，我们再修改下看看会怎么样？
哈哈，看到上面结果没，x-forwarded-for不光可以自己设置值，而且可以设置任意格式值。 这样一来，好比就直接有一个可以写入任意值的字段。并且服务器直接读取，或者写入数据库，或者做显示。它将带来危险性，跟一般对入输入没有做任何过滤检测，之间操作数据源结果一样。 并且容易带来隐蔽性。
-
结论：
上面getip函数，除了客户端可以任意伪造IP，并且可以传入任意格式IP。 这样结果会带来2大问题，其一，如果你设置某个页面，做IP限制。 对方可以容易修改IP不断请求该页面。 其二，这类数据你如果直接使用，将带来SQL注册，跨站攻击等漏洞。至于其一，可以在业务上面做限制，最好不采用IP限制。 对于其二，这类可以带来巨大网络风险。我们必须加以纠正。
需要对getip 进行修改，得到安全的getip函数。
这类问题，其实很容易出现，以前我就利用这个骗取了大量伪装投票。有它的隐蔽性，其实只要我们搞清楚了，某些值来龙去脉的话。理解了它的原理，修复该类bug将是非常容易。
题外话，做技术，有三步，先要会做，会解决；后要思考为什么要这么做，原因原理是什么；最后是怎么样做，有没有其它方法。多问问自己，你发现距离技术真理越来越近。你做事会越来越得心应手的！
我们已经意 识到直接从http_x_forwarded_for中读取用户IP，跟我们直接从一个get,post值中读取其实没有两样。web参数检测里面一个基本原则：“一切输入都是有害的”，因此，只要是输入我们就需要进行过滤。
-
安全过滤后的getIP函数
function getIP() {$realip = ''; //设置默认值if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {$realip = $_SERVER['HTTP_X_FORWARDED_FOR'];} elseif (isset($_SERVER['HTTP_CLIENT_IP'])) {$realip = $_SERVER['HTTP_CLIENT_IP'];} else {$realip = $_SERVER['REMOTE_ADDR'];}preg_match('/^((?:\d{1,3}\.){3}\d{1,3})/',$realip,$match);return $match?$match[0]:false;
}
以上函数，增加了IP判断，只会读取以Ip格式数据开头，并且第一个满足IP格式值。如果没有返回false。 这样就可以读取到满足格式的IP，验证了数据的IP格式。
-
如果我读取互联网的IP，用户传入局域网的IP，我应该直接过滤掉
我们在一些网站上面，经常可以看到提示，非法的IP地址，其实一部分是IP地址格式错误，一部分可能是读取到IP地址，不满足互联网上面允许IP格式。 以下这个函数，是通过IANA站点规范，封装了个函数。 通过输入IP地址，能够准确知道，该IP是不是可以在互联网应用。
//互联网允许使用IP地址function ipType2($ip) {$iplist = explode(".", $ip);if ($iplist[0] >= 224 && $iplist[0] <= 239)return '多播';if ($iplist[0] >= 240 && $iplist[0] <= 255)return '保留';if (preg_match('/^198\.51\.100/', $ip))return 'TEST-NET-2，文档和示例';if (preg_match('/^203\.0\.113/', $ip))return 'TEST-NET-3，文档和示例';if (preg_match('/^192\.(18|19)\./', $ip))return '网络基准测试';if (preg_match('/^192\.168/', $ip))return '专用网络[内部网]';if (preg_match('/^192\.88\.99/', $ip))return 'ipv6to4中继';if (preg_match('/^192\.0\.2\./', $ip))return 'TEST-NET-1，文档和示例';if (preg_match('/^192\.0\.0\./', $ip))return '保留（IANA）';if (preg_match('/^192\.0\.0\./', $ip))return '保留（IANA）';if ($iplist[0] == 172 && $iplist[1] <= 31 && $iplist[1] >= 16)return '专用网络[内部网]';if ($iplist[0] == 169 && $iplist[1] == 254)return '链路本地';if ($iplist[0] == 127)return '环回地址';if ($iplist[0] == 10)return '专用网络[内部网]';if ($iplist[0] == 0)return '本网络（仅作为源地址时合法）';return 'InterNet网地址'; }
当你输入IP地址，它返回是“’InterNet网地址’ ，那么这个IP地址不光格式正确，而且是互联网上面合法的IP地址。 这个函数很复杂，其实就是排除很多非互联网使用IP地址。 我们常见的192,127,10开头地址估计都很熟悉了。 但实际上，很多IP地址是保留的，或者留作它用。 不能作为互联网 IP使用。 有了以上两个函数，我们不光可以读到正确格式IP地址，还能够保证读到是互联网上面IP地址。 以上是工作中常使用的函数，欢迎朋友们交流！
转载地址:.html
本文标签： 获取用户Ip地址常见安全隐患及解决办法
版权声明：本文标题：获取用户Ip地址常见安全隐患及解决办法 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://www.roclinux.cn/b/1693408432a220207.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。
发表评论