Asp.net擷取用戶端IP常見代碼存在的偽造IP問題探討

如果某個網站是通過下面的代碼擷取IP，那麼我們只要在Header裡隨意設定HTTP_VIA和X_FORWARDED_FOR，就可以達到偽造IP的目的 

在網卡隨便一搜: Asp.net 用戶端IP
可以搜尋到很多頁面，提供的代碼基本都類似於：

複製代碼 代碼如下:
if (Request.ServerVariables["HTTP_VIA"] != null)
return Request.ServerVariables["HTTP_X_FORWARDED_FOR"].Split(new char[] { ',' })[0];
else
return Request.ServerVariables["REMOTE_ADDR"];

上述代碼裡的HTTP_VIA和HTTP_X_FORWARDED_FOR，都是從用戶端提交的Header裡擷取的，而在正常的HTTP互動中，REMOTE_ADDR是無法偽造的（注），

所以如果某個網站是通過上面的代碼擷取IP，那麼我們只要在Header裡隨意設定HTTP_VIA和X_FORWARDED_FOR，就可以達到偽造IP的目的，可以使用FireFox的外掛程式“Modify Headers”來測試，用它添加Header

註：實際上，REMOTE_ADDR也是可以偽造的，但是會造成無法正常接收資料，好比寫信時，寄件者寫假地址，那當然不可能收到對方的回複了