客户端IP地址伪造

分享一下我老师大神的人工智能教程！零基础，通俗易懂！http://blog.csdn.net/jiangjunshow

也欢迎大家转载本篇文章。分享知识，造福人民，实现我们中华民族伟大复兴！

               

原文：http://www.cnblogs.com/zhengyun_ustc/archive/2012/09/19/getremoteaddr.html

外界流传的JAVA/PHP服务器端获取客户端IP都是这么取的：

伪代码：

1）ip = request.getHeader("X-FORWARDED-FOR")

     可伪造，参考附录A

2）如果该值为空或数组长度为0或等于"unknown"，那么：

ip = request.getHeader("Proxy-Client-IP")

3）如果该值为空或数组长度为0或等于"unknown"，那么：

ip = request.getHeader("WL-Proxy-Client-IP")

4）如果该值 为空 或数组长度为0 或等于 " unknown " ，那么：

ip = request.getHeader("HTTP_CLIENT_IP")

    可伪造

5）如果该值为空 或数组长度为0 或等于"unknown " ，那么：

ip = request.getRemoteAddr()

    可对于匿名代理服务器，可隐匿原始ip，参考附录B

 

之所以搞这么麻烦，是因为存在很多种网络结构，如 Nginx+Re