默认分类

WHMCS(PHP程序)防止IP欺骗(伪造X-Forwarded-For)

前面发布了一篇文章，讲述了多重代理时防止伪造X-Forwarded-For的方法。

那只是针对使用代理服务器的情况。虽然没使用代理服务器时，很少会出现这个问题，但是也不排除有些傻逼PHP程序，如果X-Forwarded-For的内容不为空，就会主动拿来当做访客真实IP。使用CDN的话，还能获取访客的正确IP，但是没使用CDN的话……

这岂不是让那些不法分子有机可乘了吗？

大名鼎鼎的WHMCS就是其中之一！

其实如果要解决这个问题，在该PHP程序中，把类似这样的代码删掉就行：

$_SERVER['REMOTE_ADDR'] = $_SERVER['HTTP_X_FORWARDED_FOR'];

1	$_SERVER['REMOTE_ADDR'] = $_SERVER['HTTP_X_FORWARDED_FOR'];

但是，上面所说到的WHMCS，并非开源PHP程序，使用过ioncube加密，除非decode了，否则要修改源程序删代码，是不太可能的。

不过幸运的是，WHMCS有唯一一个没有加密且全局都使用的文件：configuration.php

既然WHMCS要把变量$HTTP_X_FORWARDED_FOR的内容拿来做访客真实IP，那么我们只需在configuration.php里面把$remote_addr(前一篇文章已解释过$remote_addr)赋值给$HTTP_X_FORWARDED_FOR。在configuration.php的<?php ?>之间加入以下代码：

<?php
……
$_SERVER['HTTP_X_FORWARDED_FOR'] = $_SERVER['REMOTE_ADDR'];
……
?>

<?php

……

$_SERVER['HTTP_X_FORWARDED_FOR'] = $_SERVER['REMOTE_ADDR'];

……

最后顺便提一下：本文仅仅是针对未使用反向代理(CDN)的网站防止伪造IP。如果你使用的是虚拟主机，且有CDN，无法修改服务器配置文件，那么只能用那“高风险”的方法去获取访客真实IP了。

Tags: WHMCS, X-Forwarded-For

4 Comments

Comments are closed.

You might also like:

Unix Like, 服务器

WHMCS LDAP Modules

最近有人向我谈起一个与一账户信息在多个OpenSSH Server上同步的问题。这两三天我抽时间测试了pam_mysql,pam_radius，以及OpenLDAP这三个东西。其中pam_mysql,pam_radius虽然可以用某个服务器验证登录信息，但是都需要在各个服务器上使用useradd添加该用户。 OpenLDAP最完美，仅需在LDAP上添加一个记录，就可使用已添加的用户的信息登录到各个服务器。考虑到谈起这个问题的人是想使用WHMCS开通SSH账户的，于是我弄了个WHMCS的LDAP模块。这模块需要PHP的LDAP扩展，你们可以通过phpinfo()函数查看是否有ldap扩展， […]

使用Varnish Cache时，让Nginx获取访客真实IP

之前发表过一篇文章：Varnish(前)+Nginx(中)时,让Apache(后)获取用户真实IP(多重代理) 该方法能成功解决使用或者不使用CDN时，在Varnish前端，Nginx中端，Apache解析PHP文件的情况下让Apache获取访客真实IP。因为当时主要是利用Nginx进行缓存，没使用其他功能，旧没让Nginx也获取访客真实的IP。其中Varnish处理XFF的关键代码：

     if (req.restarts == 0) {
        if (req.http.x-forwarded-for) {
#           set req.http.X-Forwarded-For =
#               req.http.X-Forwarded-For + ", " + client.ip;
        } else {
            set req.http.X-Forwarded-For = client.ip;
        }
     }

if (req.restarts == 0) {

if (req.http.x-forwarded-for) {

# set req.http.X-Forwarded-For =

# req.http.X-Forwarded-For + ", " + client.ip;

} else {

set req.http.X-Forwarded-For = client.ip;

}

也就是把客户的IP赋值给XFF。那样后端处理就方便多了。昨天在为一台Varnish+Nginx+Apache的服务器添加并测试防轻量级CC的 […]

揭穿babytomas之”WHMCS从国外服务器获取域名IP”的谎言

几天前在Hostloc发了一贴：香港WHMCS演示站。一个名叫babytomas的小家伙说我是安装到使用DNSPOD的分线解析，从而使居于美国的WHMCS的服务器检测我的域名的IP是Hostgator的IP。我当场反驳了他的观点，但是他并没有认识到自己的错误，仍然满怀信心地把自己的方法贴出来：我实在是不忍心看到一个青少年继续错误下去，那么今天我就来个测试，让大家看看谁是谁非！首先，我到DNSPOD处做好分线解析(cnwhmcs.yzs.me): 并且到Chinaz Ping了一下，以确认DNS记录已生效：到http://www. […]

多重代理时如何防止伪造X-Forwarded-For且获取真实IP

当我们给网站使用例如CDN，Nginx或Varnish等缓存服务时，为了获取访客的真实IP，大多数会地把访客的真实IP赋值给X-Forwarded-For(下文简称XFF)。但是因为XFF是个HTTP请求头，也就是最前面带有http_，因此这类http信息就可以被伪造。其实根据实际使用情况判断是否需要获取XFF内容就不会出现这些问题。拿Nginx的反代理(Proxy模块)功能来说，有人会把$proxy_add_x_forwarded_for变量的内容传给后端作为用户的真实IP。 Nginx对该变量的处理非常智能，当有XFF传过来时，Nginx就会自动把Ngin […]