E 'possibile spoofare l'ultimo proxy di un'intestazione X-Forwarded-For?

Il bilanciamento del carico imposta la parte "più recente" dell'intestazione.

Se ti fidi del bilanciamento del carico (e della connessione tra il tuo server e il servizio di bilanciamento del carico) per impostare l'intestazione come indirizzo IP all'altra estremità della sua connessione TCP, allora puoi fidarti dell'ultima voce nel header è una rappresentazione accurata dell'origine della connessione (dal punto di vista del load balancer).

Il valore del campo dell'intestazione X-Forwarded-For può essere impostato dal lato del cliente - questo può anche essere definito come X-Forwarded-Per lo spoofing. Tuttavia, quando la richiesta Web viene effettuata tramite un server proxy (un server proxy non elitario con un livello di anonimato basso), il server proxy modifica il campo X-Forwarded-For aggiungendo l'indirizzo IP del client (utente). Ciò comporterà 2 indirizzi IP separati da virgola nel campo X-Forwarded-For. Quindi, se necessario, il server Web può rilevare l'utilizzo di un server proxy e molto probabilmente rilevare lo spoofing. Il seguente articolo fornisce una spiegazione di ciò con un esempio di codice Python Spoof X- Forwarded-For . Quindi, l'utilizzo di proxy elite (che ha un elevato livello di anonimato) può aiutare a nascondere l'effettivo indirizzo IP del client.