日韩欧美人妻无码精品白浆,www.大香蕉久久网,狠狠的日狠狠的操,日本好好热在线观看

1. 攔截請(qǐng)求，添加X-Forwarded-For偽造 IP：

GET /admin HTTP/1.1Host: target.comX-Forwarded-For: 192.168.1.100

2. 發(fā)送請(qǐng)求，觀察是否成功繞過訪問限制或造成日志記錄了偽造的IP。

burpFakeIP(https://github.com/TheKingOfDuck/burpFakeIP) 插件可自動(dòng)插入X-Forwarded-For以及其他獲取客戶端IP的HTTP頭，如X-Forwarded、X-Real-IP等。

插件中除X-Forwarded-For外，還包含 X-Real-IP等頭，也是常見用于傳遞客戶端 IP 的 HTTP 請(qǐng)求頭：

·X-Forwarded-For：最常用的頭，格式為 客戶端IP, 代理1IP, 代理2IP。

·X-Forwarded：與X-Forwarded-For類似，但較少使用。

·X-Real-IP：通常由反向代理（如Nginx）設(shè)置，直接傳遞客戶端IP。

·Ali-Cdn-Real-Ip：阿里云CDN專用的頭，用于傳遞客戶端真實(shí)IP。

·WL-Proxy-Client-IP：WebLogic服務(wù)器使用的頭。

附錄中列舉了更詳細(xì)的說明。

這些HTTP請(qǐng)求頭在配置不正確的情況下，也會(huì)被偽造。下一節(jié)中將介紹相關(guān)案例。

防御原理很簡單，nginx不使用客戶端傳來的X-Forwarded-For，在直接對(duì)外的Nginx（即直接對(duì)外提供服務(wù)的Nginx）配置，修改nginx.conf。

1. 反向代理Nginx配置X-Forwarded-For

在nginx.conf中通過proxy_set_header傳遞X-Forwarded-For：

server {    listen 80;    location / {        proxy_pass <http://backend>;        proxy_set_header X-Forwarded-For $remote_addr;        proxy_set_header X-Real-IP $remote_addr;    }}

·$remote_addr：Nginx直接接收到的IP（通常是上游代理的 IP）。$remote_addr是獲取的是直接TCP連接的客戶端IP（類似于Java中的request.getRemoteAddr()）這個(gè)是無法被偽造的。該設(shè)置可直接覆蓋掉客戶端傳來的X-Forwarded-For頭。

2. 應(yīng)用服務(wù)器，以java應(yīng)用為例

public String getClientIp(HttpServletRequest request) {    String xff = request.getHeader("X-Forwarded-For");    if (xff != null && !xff.isEmpty()) {        String[] ipList = xff.split(",");        return ipList[0].trim(); // 僅提取第一個(gè)非代理 IP    }    return request.getRemoteAddr();}

這段代碼的作用是獲取并解析請(qǐng)求頭X-Forwarded-For，經(jīng)過代理，X-Forwarded-For形式可能為X-Forwarded-For:clientIP, proxy1, proxy2, proxy3

需提取第一個(gè)非代理IP。

如果中間經(jīng)過多層代理，比如雙重Nginx如何配置？

1. 第一層Nginx配置X-Forwarded-For

與5.1配置相同.

server {    listen 80;    location / {        proxy_pass <http://backend>;        proxy_set_header X-Forwarded-For $remote_addr;        proxy_set_header X-Real-IP $remote_addr;    }}

2. 第二層Nginx配置X-Forwarded-For

server {    listen 80;    location / {        proxy_pass <http://backend>;        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;        proxy_set_header X-Real-IP $remote_addr;    }}

·這里需注意$proxy_add_x_forwarded_for：自動(dòng)追加原始X-Forwarded-For頭，以保留完整的IP鏈。

·也可以不做配置，直接透傳Nginx1發(fā)送過來的請(qǐng)求。

3. 后端獲取真實(shí)IP

與5.1相同