$ _SERVER [ 'REMOTE_ADDR']을 신뢰하는 것이 안전합니까?
신뢰하는 것이 안전 $_SERVER['REMOTE_ADDR']
합니까? 요청의 헤더를 변경하여 대체 할 수 있습니까?
그런 식으로 쓰는 것이 안전한가요?
if ($_SERVER['REMOTE_ADDR'] == '222.222.222.222') { // my ip address
$grant_all_admin_rights = true;
}
예, 안전합니다. TCP 연결의 소스 IP이며 HTTP 헤더를 변경하여 대체 할 수 없습니다.
걱정할 수있는 한 가지 경우는 역방향 프록시 뒤에있는 경우입니다.이 경우 REMOTE_ADDR은 항상 프록시 서버의 IP이고 사용자 IP는 HTTP 헤더 (예 : X-Forwarded-For)에 제공됩니다. ). 그러나 일반적인 사용 사례의 경우 REMOTE_ADDR을 읽는 것이 좋습니다.
$_SERVER['REMOTE_ADDR']
TCP 연결이 들어온 IP 주소입니다. 인터넷에서 IP 주소를 양방향으로 스푸핑하는 것이 기술적으로 가능하지만 (BGP를 통해 파울 라우트를 발표함으로써) 이러한 공격은 발견 될 가능성이 높고 일반적인 공격자는 사용할 수 없습니다. 기본적으로 공격자는 ISP 또는 통신 업체를 제어해야합니다. TCP에 대한 가능한 단방향 스푸핑 공격은 없습니다 (아직). LAN에서는 양방향 IP 스푸핑이 사소합니다.
또한 IPv4가 아니라 IPv6 주소 일 수 있습니다. 현재 체크는 점에서 괜찮지 만, 당신이 체크 할 경우 1.2.3.4
에만 발생 어디 에서 $_SERVER['REMOTE_ADDR']
, 공격자는 단순히에서 연결할 수 있습니다 2001:1234:5678::1.2.3.4
.
요약하자면, 중요한 (은행 / 군사 / 잠재적 피해> 50.000 €) 애플리케이션 이외의 경우 로컬 네트워크에서 공격자를 제외 할 수있는 경우 원격 IP 주소를 사용할 수 있습니다.
위에서 언급했듯이 절대적으로 안전하지 않습니다. 하지만 사용하지 말아야한다는 뜻은 아닙니다. 이를 다른 인증 방법 (예 : COOKIE 값 확인)과 결합하는 것을 고려하십시오.
참고 URL : https://stackoverflow.com/questions/4773969/is-it-safe-to-trust-serverremote-addr
'development' 카테고리의 다른 글
std :: type_info :: name 결과 관리 해제 (0) | 2020.09.24 |
---|---|
ImportError : OS X에서 Python을 업그레이드 한 후 pkg_resources라는 모듈이없는 이유는 무엇입니까? (0) | 2020.09.24 |
루프 중에 TextBox.Text에 추가하면 반복 할 때마다 더 많은 메모리를 차지하는 이유는 무엇입니까? (0) | 2020.09.24 |
Windows 스토어 앱에서 CoreDispatcher를 가져 오는 올바른 방법 (0) | 2020.09.24 |
JsonMappingException : START_ARRAY 토큰에서 벗어남 (0) | 2020.09.24 |