繁體中文当前位置: 首页 > 图文教程 > 网络编程 > 相关技巧 > 使用HTTP_X_FORWARDED_FOR获取客户端IP的严重后果
- 相关技巧
- 网站程序员如何应对web标准
- 一个批量编码转换及ASP/JS加解密/简繁转换的工具
- php和js编程中的延迟执行效果的代码
- 文本文件编码方式区别
- 风中叶老师讲述的学习方法(学习编程的朋友需要看)
- UTF8编码开发中页面空白问题的解决方法
- POST与GET方法的区别简要分析
- 在PB中如何让用户只能修改新增的数据
- 即时通讯软件在网页上启动临时对话的链接代码
- php和asp利用Shell.Application来执行程序的代码
- 用户权限管理设计[图文说明]
- 大型网站架构演变和知识体系
- 在地址栏里显示logo的实现方法
- phpMyAdmin“无法载入 mysql 扩展， 请检查 PHP 配置”问题的解决方案
- 程序开发中的几个请不要相信
- Web通信 分析工具 [推荐]
- 水晶报表 分页 的问题
- 页面制作统一的头尾的方法(asp+js)
- xmlHttp ie6下不跨域还提示没有权限，ie8下不会有这错误
- Eclipse 格式化代码时不换行与自动换行的实现方法
相关技巧 中的 使用HTTP_X_FORWARDED_FOR获取客户端IP的严重后果
出处:互联网 整理: 软晨网（RuanChen.com） 发布: 2010-01-10 浏览: 170 ::
收藏到网摘: n/a
我的建议是不要再使用上面的方法去获取客户端IP.即是不要再理会代理情况. 在WEB开发中.我们可能都习惯使用下面的代码来获取客户端的IP地址:
C#代码
复制代码 代码如下:
//优先取得代理IP
string IP = Request.ServerVariables["HTTP_X_FORWARDED_FOR"];
if (string.IsNullOrEmpty(IP)) {
//没有代理IP则直接取连接客户端IP
IP = Request.ServerVariables["REMOTE_ADDR"];
}
上面代码看来起是正常的.可惜这里却隐藏了一个隐患!!因为"HTTP_X_FORWARDED_FOR"这个值是通过获取HTTP头的"X_FORWARDED_FOR"属性取得.所以这里就提供给恶意破坏者一个办法:可以伪造IP地址!!
下面是测试代码:
复制代码 代码如下:
HttpWebRequest request = (HttpWebRequest)HttpWebRequest.Create("http://localhost/ip.aspx");
request.Headers.Add("X_FORWARDED_FOR", "0.0.0.0");
HttpWebResponse response = (HttpWebResponse)request.GetResponse();
StreamReader stream = new StreamReader(response.GetResponseStream());
string IP = stream.ReadToEnd();
stream.Close();
response.Close();
request = null;
"ip.aspx"文件代码:
复制代码 代码如下:
Response.Clear();
//优先取得代理IP
string IP = Request.ServerVariables["HTTP_X_FORWARDED_FOR"];
if (string.IsNullOrEmpty(IP))
{
//没有代理IP则直接取客户端IP
IP = Request.ServerVariables["REMOTE_ADDR"];
}
Response.Write(IP);
Response.End();
这样.当测试代码中去访问ip.aspx文件时."string IP = stream.ReadToEnd();"这段代码取到的IP数据就是"0.0.0.0"!!!!(呵.在真实情况下.这样的IP地址肯定不是我们想要的结果.而在有些投票系统中限制一个IP只能投1次票时,如果也是用类似的代码取得对方IP然后再判断的话.呵呵.限制就失效咯)...
或者如果你用上面代码获取IP地址后后面又不再进行数据判断的话也许还能更进一步进行数据破坏!!
比如你用类似上面的代码中获取IP地址就直接有这样的SQL语句:
string sql = "INSERT INTO (IP) VALUE ('" + IP + "')";
那么也许破坏者还可以进行SQL注入进行数据破坏!!
这样看来利用"HTTP_X_FORWARDED_FOR"这个属性获取客户端IP的方法就不再可取了.-_-# 但如果不用这种方法.那么那些真正使用了代理服务器的人.我们又不能再获取到他们的真实IP地址(因为某些代理服务器会在"X_FORWARDED_FOR"这个HTTP头里加上访问用户真正的IP地址).呵.现实就是这样,某种东西都有有得必有失...
最后,我的建议是不要再使用上面的方法去获取客户端IP.即是不要再理会代理情况.你的建议又是怎样呢???
评论 (1) 