使用CURL伪造来源网址与IP
程序员文章站
2022-06-13 22:57:36
...
很多投票都有对来路的网址和IP进行验证,但是使用CURL可以伪造成任意的网址与IP,以绕过一些简单的验证,下面举一个简单的例子。
程序运行之前,请确保 php.ini 中 extension=php_curl.dll 没有被注释掉。
test.php
test.php 会向 test_2.php 发送请求。
IP: " . getClientIp() . ""; echo "
referer: " . $_SERVER["HTTP_REFERER"]; ?>
程序运行结果如下:
HTTP/1.1 200 OK Date: Tue, 01 Nov 2011 12:20:06 GMT Server: Apache/2.2.11 (Win32) DAV/2 mod_ssl/2.2.11 OpenSSL/0.9.8i PHP/5.2.9 X-Powered-By: PHP/5.2.9 Content-Length: 53 Content-Type: text/html IP: 8.8.8.8 referer: http://www.bkjia.com/
看到了吧,IP和地址可以随意换,对于很多投票机制不完善的投票功能都可以使用这个进行刷票了。
顺便说一下,关于真实IP的事情。
一般获得用户IP都是使用$_SERVER['REMOTE_ADDR']这个环境变量,但是此变量只会纪录最后一个主机IP,所以当用户浏览器有设定Proxy时,就无法取得他的真实IP。
这时可以使用另一个环境变量$_SERVER['HTTP_X_FORWARDED_FOR'] ,它会纪录所经过的主机IP,但是只有在用户有透过Proxy时才会产生,所以可以像以下这样写来取得使用者真实IP。
上一篇: PHP 源码加密扩展 PHP-Beast V2.0 发布
下一篇: Oracle 进程 简单介绍