Có thể giả mạo IP của bạn ... đang kiểm tra địa chỉ IP có an toàn không?

Question

Tôi có một số tính năng bổ sung trên trang web mà nhân viên có thể sử dụng nhưng khách hàng không được phép xem.

Nhân viên tất cả sẽ thuộc một loạt các miền.

Những gì tôi làm là lấy ip sử dụng như sau:

$user_ip = gethostbyname($_SERVER['REMOTE_ADDR']); 

Sau đó, tôi nhận được một mảng của tất cả các ip cho các lĩnh vực người sử dụng sẽ được sử dụng gethostbyname

Sau đó, tôi kiểm tra xem người dùng thuộc một trong các tên miền như vậy:

in_array($user_ip,$allowedIPS) 

Vì vậy, nếu người dùng thuộc một trong các miền họ thấy các tính năng bổ sung để sử dụng nội bộ. Nếu không, họ chỉ nhìn thấy những gì có nghĩa là cho công chúng.

Câu hỏi của tôi là, điều này có an toàn không? Hoặc ai đó có thể giả mạo IP của họ xuất hiện giống như họ đang ở trên miền của chúng tôi và có quyền truy cập vào các tính năng này?

Answer 1

Không thể giả mạo kết nối TCP qua Internet mở do Three Way Handshake. Tuy nhiên, có thể truy cập tính năng này bằng cách sử dụng CSRF.

PHP kéo $_SERVER['REMOTE_ADDR'] trực tiếp từ ổ cắm TCP của Apache, ở đó không bị ảnh hưởng bởi kẻ tấn công. Và vâng, tôi đã xem mã này.

Answer 2

Mọi thứ đều có thể, nhưng nó luôn là vấn đề về chi phí.
Trong hầu hết các trường hợp giả mạo như vậy không đáng giá

Answer 3

Có thể giả mạo IP, nếu không tầm thường.

Tại sao bạn không chỉ đăng nhập để có quyền truy cập vào các tính năng chỉ dành cho nhân viên?

Answer 4

Tôi không nghĩ rằng điều này là có thể, bởi vì khi bạn thực hiện yêu cầu đến máy chủ, bạn thực sự yêu cầu ISP của bạn yêu cầu máy chủ.

miễn là bạn xác nhận tất cả các dữ liệu HTTP Meta rằng đạo ISP trên cho bạn, chẳng hạn như X-FORWARDED-FOR và meta proxy bạn sẽ có thể giữ một hệ thống chặt chẽ ..

heres một sơ đồ có thể giúp bạn uderstand ý tôi là gì:

đọc tại đây để biết thêm thông tin.

http://www.astahost.com/info.php/hacker39s-view-easy-spoofing-ip-address_t13807.html

Answer 5

Câu hỏi của tôi là, đây là an toàn? Hoặc ai đó có thể giả mạo IP của họ xuất hiện giống như họ đang ở trên miền của chúng tôi và có quyền truy cập vào các tính năng này?

Không, trừ khi họ cũng có quyền truy cập vào mạng của một trong các IP được phép hoặc bất kỳ máy nào được phép trong một trong các IP bị xâm phạm và lưu lượng truy cập proxy.

Trong trường hợp của bạn, có vẻ như đủ tốt. Vâng, ngoại trừ những người dùng đặc quyền sẽ không được phép truy cập nội dung từ các IP khác mà không có một số loại VPN.

Lưu ý rằng IP spoofing thường có ý nghĩa khác với ý nghĩa bạn đang sử dụng. Nó có nghĩa là chỉ giả mạo địa chỉ nguồn của một gói tin. Điều này tự nó là vô giá trị bởi vì để truy cập dịch vụ, nó cũng sẽ là cần thiết để nhận được phản hồi từ máy chủ. Ngay cả "IP giả mạo" trong ý nghĩa này là hiếm ngày hôm nay do định tuyến tốt hơn.

Answer 6

Nếu bạn định làm điều này, hãy thực hiện với cấu hình apache, không phải bằng mã. Về cơ bản bạn đang phát minh lại chức năng được tích hợp sẵn.

Đối với câu hỏi trực tiếp, như những người khác đã nói, giả mạo IP là có thể nếu không tầm thường. Cũng hy vọng bạn không có bất kỳ điểm truy cập không an toàn nào.

CHỈNH SỬA: Apache access control hướng dẫn. Đây là giả định của tôi bạn đang sử dụng Apache do sử dụng PHP, nếu bạn đang thực sự sử dụng IIS, nó vẫn là một cấu hình điều khiển thiết lập nhưng rõ ràng là khác nhau trong thực hiện của nó.

Answer 7

Tôi đã bỏ qua ROOK trên trang này. Bạn không thể giả mạo một kết nối TCP và vẫn truy cập trang web của bạn từ cùng một máy làm giả mạo. Tại sao? Vì phản hồi mà máy chủ web của bạn sẽ thực hiện (ban đầu) sẽ là IP giả mạo trong nỗ lực thiết lập kết nối socket (bắt tay TCP 3 chiều). Có thể hiểu rằng nếu bạn có hai máy tính (A và B) tại hai địa chỉ IP công cộng khác nhau và bạn sử dụng một trong các máy tính (A) để giả mạo hoặc gửi gói đến máy chủ web của bạn bằng địa chỉ IP của B sao cho khi máy chủ web của bạn trả lời nó gửi gói tin đến B.

Nếu địa chỉ IP được sử dụng trong cuộc gọi giả mạo nằm trong mạng con của bạn thì máy trạm bên trong sẽ nhận gói TCP ACK cho gói TCP SYN không được khởi tạo và từ chối chúng hoặc bỏ qua chúng. Tôi không biết về bất kỳ việc thực hiện ngăn xếp TCP/IP nào sẽ cố gắng hoàn thành việc bắt tay 3 chiều đối với các gói chỉ ACK; nó phá vỡ giao thức chuẩn.

Giả mạo là kỹ thuật cho lũ UDP, nơi kẻ tấn công tấn công DoS (Từ chối dịch vụ) bằng địa chỉ IP giả mạo để cố gắng ẩn tuyến đường của họ.

Hy vọng điều này sẽ hữu ích.

Answer 8

$_SERVER['REMOTE_ADDR'] được cung cấp bởi máy chủ web của bạn và không thể giả mạo trực tiếp. Cách duy nhất xung quanh nó mà tôi có thể thấy là proxy kết nối thông qua một trong những IP được cho phép.

Answer 9

Khi chúng tôi phải đối mặt với một câu hỏi tương tự, chúng tôi đi đến kết luận rằng nếu người dùng truy cập chúng tôi qua http, chúng tôi hoàn toàn không thể dựa vào địa chỉ IP của họ, vì họ có thể đang sử dụng proxy. Nhưng https luôn là kết nối trực tiếp; nó không cho phép proxy, vì vậy chúng tôi có thể chắc chắn rằng địa chỉ IP mà chúng tôi thấy là chính xác. Vì vậy, chúng tôi đã khóa người dùng của chúng tôi dựa trên địa chỉ IP PLUS họ phải truy cập trang web qua https (và đăng nhập vào tài khoản của họ, tất nhiên).

Trường hợp của bạn có vẻ khác một chút so với của chúng tôi, nhưng tôi muốn nói ở trên cũng hữu ích cho bạn.

Thậm chí nếu bạn không đi theo con đường chính xác đó, bạn cần phải biết về proxy. Một proxy về mặt lý thuyết có thể cho phép bất kỳ số lượng người dùng khác nhau truy cập trang web của bạn từ một địa chỉ IP duy nhất, vì vậy nếu bạn quản lý IP của proxy vào danh sách các địa chỉ được cho phép thì bạn sẽ mở một lỗ hổng bảo mật, vì vậy bạn cần để đảm bảo rằng bất kỳ địa chỉ IP nào bạn thêm vào danh sách đều hợp pháp (đây là nơi https có thể trợ giúp).

Ngoài ra, nếu người dùng của bạn đến từ máy tính ở nhà, hãy lưu ý rằng địa chỉ IP của họ có thể thay đổi theo thời gian. Hầu hết các ISP sẽ phát hành khách hàng của họ với các IP động có thể được gán lại, nghĩa là mỗi khi bạn kết nối với internet, bạn sẽ có cơ hội nhận được một địa chỉ IP khác. Nếu đây là trường hợp, không có giả mạo xảy ra nhưng tuy nhiên bạn sẽ không thể xác định người dùng một cách đáng tin cậy theo địa chỉ IP của họ.