2
public function get_client_ip() {
                $ipaddress = '';
                if (isset($_SERVER['HTTP_CLIENT_IP']))
                    $ipaddress = $_SERVER['HTTP_CLIENT_IP'];
                else if(isset($_SERVER['HTTP_X_FORWARDED_FOR']))
                    $ipaddress = $_SERVER['HTTP_X_FORWARDED_FOR'];
                else if(isset($_SERVER['HTTP_X_FORWARDED']))
                    $ipaddress = $_SERVER['HTTP_X_FORWARDED'];
                else if(isset($_SERVER['HTTP_FORWARDED_FOR']))
                    $ipaddress = $_SERVER['HTTP_FORWARDED_FOR'];
                else if(isset($_SERVER['HTTP_FORWARDED']))
                    $ipaddress = $_SERVER['HTTP_FORWARDED'];
                else if(isset($_SERVER['REMOTE_ADDR']))
                    $ipaddress = $_SERVER['REMOTE_ADDR'];
                else
                    $ipaddress = 'Desconhecido';

                return $ipaddress;
        }

Esse código não é bom porque tem problemas de segurança já vi várias vezes dizendo aqui no fórum

Como eu pego o ip entao? EM PHP

1
  • Gente que tal me ajudar?
    – nope500
    Commented 21/07/2017 às 20:23

1 Resposta 1

6

Porque você confia no cabeçalho enviado pelo cliente, simples assim. Isso permite que o cliente falsifique o IP, permitindo IP Spoofing.

Basicamente a regra é "Nunca confie em nenhum cabeçalho", da mesma forma que você nunca deve confiar num cookie (que também é um cabeçalho).


Como atacar esse código? Você mesmo pode testar isso!

  • Servidor:

    echo 'IP deste codigo: ' . get_client_ip();
    echo PHP_EOL;
    echo 'IP real:         ' . $_SERVER['REMOTE_ADDR'];
    
  • Cliente:

    curl http://seusite.com -H "CLIENT-IP: 111.222.333.444"
    

O curl é um software para fazer requisições, o parâmetro -H adiciona um cabeçalho, neste caso com o nome de CLIENT-IP com o valor de 111.222.333.444. Existem vários softwares capazes de fazer isso também, o curl acho que é o mais usado, mas muito longe de ser único.


Para "simulação" utilizei um notebook como cliente (IP é 192.168.100.196) e um desktop como servidor (IP é 192.168.100.122) que tinha o código acima, ambos em mesma rede, portanto executei:

curl http://192.168.100.122/iptester.php -H "CLIENT-IP: 111.222.333.444"

Resultado:

IP deste codigo: 111.222.333.444
IP real:         192.168.100.196

Pronto, temos um IP falso! Podemos ignorar qualquer restrição de IP! >:D

Note que sua função confia no cabeçalho enviado. Isso poderia ser ainda mais grave, porque como estamos usando echo get_client_ip(); estando vulnerável a XSS, afinal:

CLIENT-IP: <script>alert('xss')</script>

Isso iria ser executado no navegador, porque não há qualquer filtro.


Se quiser atacar usando o próprio PHP, então também use o cURL:

$alvo = 'http://192.168.100.122/iptester.php';
$ipFalso = '111.222.333.444';

$curl = curl_init($alvo);

curl_setopt_array($curl, [

    CURLOPT_HTTPHEADER => [
        'CLIENT-IP:' . $ipFalso,
        'X-FORWARDED-FOR:' . $ipFalso,
        'X-FORWARDED:' . $ipFalso,
        'FORWARDED-FOR:' . $ipFalso,
        'FORWARDED:' . $ipFalso,
    ],

]);

curl_exec($curl);

Supondo que o http://192.168.100.122/iptester.php contenha o código de exemplo mencionado em cima. ;)

6
  • Fiquei na dúvida @Inkeliz. É preferível que eu utilize o $_SERVER então? Commented 21/07/2017 às 21:08
  • Sim, use o $_SERVER['REMOTE_ADDR'], exceto se você usa CloudFlare (ou outro proxy), daí você usa os cabeçalhos oferecidos por eles.
    – Inkeliz
    Commented 21/07/2017 às 21:10
  • Este valor em $_SERVER é definido pelo próprio servidor, certo?
    – Woss
    Commented 21/07/2017 às 21:51
  • 1
    É definido pelo próprio webserver (Apache/Nginx), ele informa o IP do cliente que está acessando, a menos que esteja configurado errado. É bem mais difícil de falsificar isto do que um simples header. Existem alguns CVEs sobre casos parecidos com esse código, por exemplo do CakePHP e existe um CWE sobre isso. Existem vários issues no Github sobre, este é um e recomendação é usar o $_SERVER['REMOTE_ADDR'].
    – Inkeliz
    Commented 21/07/2017 às 22:43
  • 1
    @GuilhermeCostamilam, sim. O REMOTE_ADDR é mais confiável, porque é fornecido pelo servidor web. Há exceções, como disse nos comentários, principalmente se utilizar algum proxy reverso, como o CloudFlare, Incapsula ou Sucuri.... Ignorando esses "CloudFlares", se você tem servidores de cache, que também agem como proxy, pode ser que o REMOTE_ADDR acabe obtendo o IP local, deste outro servidor. Mas, isso é questão da arquitetura de configuração de servidores, não do PHP especificamente.
    – Inkeliz
    Commented 2/08/2018 às 17:59

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .