php获取ip地址(伪造)

REMOTE_ADDR = 最后一个代理服务器 IP

HTTP_X_FORWARDED_FOR = 客户端真实 IP (经过多个代理服务器时,这个值类似:221.5.252.160, 203.98.182.163, 203.129.72.215)

这类代理还会将客户真实ip发送到请求对象,无法隐藏真实ip。

在投票程序中,若是请求头设置X_FORWARDED_FOR字段,让其为一个变化的ip地址,则可以实现一个机器的多次投票:

php获取ip地址(伪造)_第1张图片

在intruder中将ip地址的最后16位设置成2个变量,并采取自定义模式(cluster bomb)

接下来设置两个参数的变化范围:

php获取ip地址(伪造)_第2张图片

开始爆破后,发现依然返回值为-1,说明错误。

php获取ip地址(伪造)_第3张图片

后发现是X-Forwarded-For: 192.168.***.*** 需要用小写进行处理才可以。

php获取ip地址(伪造)_第4张图片

成功!

题目链接:题目https://www.mozhe.cn/bug/detail/63

你可能感兴趣的:(网络安全,安全,web安全)