java服务器获取ip 解读请求头伪造ip

逃离我推掉我的手 2024-03-16 13:54 14阅读 0赞

**目录**

一、获取ip的代码

二、请求头解读

三、注意事项

--------------------

### 一、获取ip的代码 ###

市面上流传的JAVA/PHP服务器端获取客户端IP都是这样：

if (request == null) {
                return "unknown";
            }
            String ip = request.getHeader("x-forwarded-for");
            if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
                ip = request.getHeader("Proxy-Client-IP");
            }
            if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
                ip = request.getHeader("WL-Proxy-Client-IP");
            }
            if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
                ip = request.getHeader("HTTP_CLIENT_IP");
            }
            if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
                ip = request.getHeader("X-Real-IP");
            }
            if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
                ip = request.getRemoteAddr();
            }

### 二、请求头解读 ###

> **X-Forwarded-For**  
> 这是一个 Squid 开发的字段，只有在通过了 HTTP 代理或者负载均衡服务器时才会添加该项。格式为X-Forwarded-For: client1, proxy1, proxy2，一般情况下，第一个ip为客户端真实ip，后面的为经过的代理服务器ip。现在大部分的代理都会加上这个请求头
> 
>   
> **Proxy-Client-IP/WL- Proxy-Client-IP**  
> 这个一般是经过apache http服务器的请求才会有，用apache http做代理时一般会加上Proxy-Client-IP请求头，而WL- Proxy-Client-IP是他的weblogic插件加上的头
> 
> **HTTP\_CLIENT\_IP**  
> 有些代理服务器会加上此请求头
> 
> **X-Real-IP**  
> nginx代理一般会加上此请求头。

###    三、注意事项 ###

1、这些请求头都不是http协议里的标准请求头，也就是说这个是各个代理服务器自己规定的表示客户端地址的请求头。如果哪天有一个代理服务器软件用xxxx1-client-ip这个请求头代表客户端请求，那上面的代码就不行了。

2、这些请求头不是代理服务器一定会带上的，网络上的很多匿名代理就没有这些请求头，所以获取到的客户端ip不一定是真实的客户端ip。代理服务器一般都可以自定义请求头设置。

3、即使请求经过的代理都会按自己的规范附上代理请求头，上面的代码也不能确保获得的一定是客户端ip。不同的网络架构，判断请求头的顺序是不一样的。

4、最重要的一点，请求头都是可以伪造的。如果一些对客户端校验较严格的应用（比如投票）要获取客户端ip，应该**直接使用ip = request.getRemoteAddr ()**，**虽然获取到的可能是代理的ip**而不是客户端的ip，但这个获取到的ip基本上是**不可能伪造**的，也就杜绝了刷票的可能。(**有分析说arp欺骗+syn有可能伪造此ip，如果真的可以，这是所有基于TCP协议都存在的漏洞**)，**这个ip是tcp连接里的ip**。

待整理：

在JSP里，获取客户端的IP地址的方法是：request.getRemoteAddr（），这种方法在大部分情况下都是有效的。但是在通过了Apache，Squid等反向代理软件就不能获取到客户端的真实IP地址了。

如果使用了反向代理软件，将http://192.168.2.100:8080/ 的URL反向代理为 http://www.globalcoding.com 的URL时，用request.getRemoteAddr（）方法获取的IP地址是：127.0.0.1　或　192.168.2.100，而并不是客户端的真实IP。

经过代理以后，由于在客户端和服务之间增加了中间层，因此服务器无法直接拿到客户端的IP，服务器端应用也无法直接通过转发请求的地址返回给客户端。但是在转发请求的HTTP头信息中，增加了X－FORWARDED－FOR信息。用以跟踪原有的客户端IP地址和原来客户端请求的服务器地址。当我们访问http://www.globalcoding.com/index.jsp/ 时，其实并不是我们浏览器真正访问到了服务器上的index.jsp文件，而是先由代理服务器去访问http://192.168.2.100:8080/index.jsp ，代理服务器再将访问到的结果返回给我们的浏览器，因为是代理服务器去访问index.jsp的，所以index.jsp中通过request.getRemoteAddr（）的方法获取的IP实际上是代理服务器的地址，并不是客户端的IP地址。

[多级反向代理下，Java获取请求客户端的真实IP地址多中方法整合\_sgx425021234的博客-CSDN博客][Java_IP_sgx425021234_-CSDN]

=======================分割线=======================

文章到此已经结束，以下是紫薯布丁

if (request == null) \{  
return "unknown";  
\}  
String ip = request.getHeader("x-forwarded-for");  
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) \{  
ip = request.getHeader("Proxy-Client-IP");  
\}  
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) \{  
ip = request.getHeader("WL-Proxy-Client-IP");  
\}  
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) \{  
ip = request.getHeader("HTTP\_CLIENT\_IP");  
\}  
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) \{  
ip = request.getHeader("X-Real-IP");  
\}  
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) \{  
ip = request.getRemoteAddr();  
\}

[Java_IP_sgx425021234_-CSDN]: https://blog.csdn.net/sgx425021234/article/details/19043459