MENU

cdn后面(nginx反代)获取客户端真实ip

最近开了WTFGame的服务器,做了一个wtf的简易会员系统,上线运行时发现sql记录的用户ip全是cdn的ip,经过一番研究找到了一个获取真实ip的方法.

前言

开了wtf服务器后,时间一长,玩家一多,发现了2次外挂程序,通过抓包发现,所有用户的坐标和动作都是通过base64加密后传到服务端,而服务端没有校验数据的合法性,于是无奈加了一个token验证,我制作的面板动态渲染游戏页面,将token传给服务端,服务端通过我的api校验用户身份,其实这个本应该是服务端通过sql校验,但考虑到小伙伴不太会java,于是便让他走了我的api校验.

thinkphp5.0的获取ip

从tp5的手册里没有发现tp5获取客户端ip的功能,但是查找Request类时发现了这个功能,于是获取ip就直接用了tp5自带的\think\Request::instance()->ip()上线肯定要考虑到玩家的资源加载,于是套了cdn,之后问题来了,偶然在sql看了下用户的注册和登录ip全是cdn的ip,翻了下tp5的Request类

/**
     * 获取客户端IP地址
     * @param integer   $type 返回类型 0 返回IP地址 1 返回IPV4地址数字
     * @param boolean   $adv 是否进行高级模式获取（有可能被伪装）
     * @return mixed
     */
    public function ip($type = 0, $adv = false)
    {
        $type      = $type ? 1 : 0;
        static $ip = null;
        if (null !== $ip) {
            return $ip[$type];
        }

        if ($adv) {
            if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
                $arr = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
                $pos = array_search('unknown', $arr);
                if (false !== $pos) {
                    unset($arr[$pos]);
                }
                $ip = trim(current($arr));
            } elseif (isset($_SERVER['HTTP_CLIENT_IP'])) {
                $ip = $_SERVER['HTTP_CLIENT_IP'];
            } elseif (isset($_SERVER['REMOTE_ADDR'])) {
                $ip = $_SERVER['REMOTE_ADDR'];
            }
        } elseif (isset($_SERVER['REMOTE_ADDR'])) {
            $ip = $_SERVER['REMOTE_ADDR'];
        }
        // IP地址合法验证
        $long = sprintf("%u", ip2long($ip));
        $ip   = $long ? [$ip, $long] : ['0.0.0.0', 0];
        return $ip[$type];
    }

发现tp的adv模式是默认关闭的,而且不止为何使用了adv模式也不能正常获取到客户端ip,在网上找了几个获取真实客户端ip的方法,均无果,于是便做了个测试,在一个方法中写了var_dump($_SERVER);发现其中有一个HTTP_X_REAL_IP会一直返回客户端的值,经过网上一番查询发HTTP_X_REAL_IP似乎是反代时记录客户端ip的值,只要反代加入了proxy_set_header X-Real-IP $remote_addr;php就可以读这个值来获取客户端真正的ip,于是便照葫芦画瓢,把tp5的获取ip的方法稍微改了下.

更改后的代码

/**
 * 获取客户端IP地址
 * @param integer   $type 返回类型 0 返回IP地址 1 返回IPV4地址数字
 * @param boolean   $adv 是否进行高级模式获取（有可能被伪装）
 * @return mixed
 */
public function ip($type = 0, $adv = true)
{
    $type      = $type ? 1 : 0;
    static $ip = null;
    if (null !== $ip) {
        return $ip[$type];
    }

    if ($adv) {
        
        if (isset($_SERVER['HTTP_X_REAL_IP'])) { //nginx反代时
            $ip = $_SERVER['HTTP_X_REAL_IP'];
        } elseif (isset($_SERVER['HTTP_CDN_REAL_IP'])) { //云端cdn反代时
            $ip = $_SERVER['HTTP_CDN_REAL_IP'];
        } elseif (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
            $arr = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
            $pos = array_search('unknown', $arr);
            if (false !== $pos) {
                unset($arr[$pos]);
            }
            $ip = trim(current($arr));
        } elseif (isset($_SERVER['HTTP_CLIENT_IP'])) {
            $ip = $_SERVER['HTTP_CLIENT_IP'];
        } elseif (isset($_SERVER['REMOTE_ADDR'])) {
            $ip = $_SERVER['REMOTE_ADDR'];
        }
    } elseif (isset($_SERVER['REMOTE_ADDR'])) {
        $ip = $_SERVER['REMOTE_ADDR'];
    }
    // IP地址合法验证
    $long = sprintf("%u", ip2long($ip));
    $ip   = $long ? [$ip, $long] : ['0.0.0.0', 0];
    return $ip[$type];
}

首先要注意使用我修改过的方法并且开启adv的话如果没有获取到HTTP_X_REAL_IP或者HTTP_CDN_REAL_IP的话,会取HTTP_X_FORWARDED_FOR的值作为客户端ip,这个值是可以伪装的!
之后网上找了几个cdn服务商,他们几乎都有特定的字段给用户获取真实客户端ip使用,只要修改正确就可以.

标签: 无
添加新评论