asp.net - 是否可以欺骗 HttpRequest.UserHostAddress (REMOTE_ADDR)？

Question

作为保护 Web 应用程序的额外措施，我正在考虑实现客户端 IP 白名单。

首选方法似乎是:在路由器上执行此操作。然而，在我的场景中，这是一个重大的管理负担。

我想在网络服务器上的软件中执行此操作。这有什么不安全的原因吗？

Answer 1

HttpRequest.UserHostAddress 是从最终用户发送到服务器的 http 请求中的源 IP 号码检索的。一个http请求被分成多个ip包，源ip号是每个ip包中的一个字段。网络上的任何人都可以制作源字段中包含任何 ip 编号的 ip 数据包并将其发送给您。

但是，它的实用性受到一定限制。当您响应 http 请求时，响应将发送到请求中的源 ip 号码。除非攻击者能够在发送给接收方的过程中拦截响应，否则他不会收到响应。举个例子:如果攻击者向您发送包含用户名和密码的登录请求，那么您可能会使用 cookie 进行响应。但由于cookie被发送到假源ip，攻击者永远不会看到它。

IP欺骗在技术上并不困难，但由于攻击者不会收到响应，因此它主要用于可以通过单个请求完成的攻击。

路由器和防火墙还可以保护您免受带有虚假源 IP 的恶意 IP 数据包的侵害。大多数防火墙都会阻止来自内网源 IP 的外网数据包。