【Nginx】proxy_set_header的变量与X-Forwarded-For伪造客户端IP漏洞

分手后的思念是犯贱 2024-03-16 14:26 14阅读 0赞

### 前言 ###

上面突然说，需要检查Nginx反向代理的安全问题并给出了修改方法，小白的我一脸懵逼，明明都是中文，连在一起咋就看不明白了。于是乎，对着修改内容简单学习了一下，在此做个记录，如有问题请大佬们指点指点。

### 1、proxy\_set\_header的参数 ###

在Nginx中的location里，我们通常会配置proxy\_set\_header，如下代码：

# 定义转发分配规则
    upstream kwtest {
        
    	server ip1:port;
    	server ip2:port;
    }
    
    server {
        
    	listen	8080; # Nginx监听端口
    
    	location /testApi {
        
    		# 反向代理
    		proxy_pass http://kwtest;
    		# 在原本的nginx中，这个是默认的
    		proxy_set_header Host $http_host;
    	}
    }

#### 1.1 具体参数 ####

这里来解释一下这个参数`$http_host`，以及后面会讲到的参数。

<table> 
 <thead> 
  <tr> 
   <th>proxy_set_header参数</th> 
   <th>含义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><code>$http_host</code></td> 
   <td>请求头中的完整的主机名或IP地址（包括端口号）</td> 
  </tr> 
  <tr> 
   <td><code>$host</code></td> 
   <td>请求头中的Host字段，主机名或IP地址（不包括端口号）</td> 
  </tr> 
  <tr> 
   <td><code>$remote_addr</code></td> 
   <td>是客户端的IP地址</td> 
  </tr> 
  <tr> 
   <td><code>$proxy_add_x_forwarded_for</code></td> 
   <td>获取客户端真实的 IP 地址</td> 
  </tr> 
 </tbody> 
</table>

#### 1.2 客户端请求过来的 HTTP 请求头中的主机名或IP地址，与客户端的 IP 地址有什么不同 ####

*  客户端请求过来的 HTTP 请求头中的主机名或IP地址：这里的IP不是客户端的IP，是服务器端的IP【eg.系统部署的地方】
 *  客户端的 IP 地址：用户的IP地址【eg.浏览器打开的页面】

#### 1.3 客户端的IP地址 与 获取客户端真实的 IP 地址有什么不同 ####

> `$remote_addr`是 Nginx 服务器记录的发起连接的客户端 IP 地址，**是从网络层获取的客户端 IP，也就是请求到达 Nginx 服务器的 IP 地址**。这个变量通常在直接与客户端通信的情况下使用，例如，客户端直接请求 Nginx 服务器时，可以通过`$remote_addr`获取客户端的真实 IP 地址。

> `$proxy_add_x_forwarded_for`是 Nginx 在作为反向代理服务器时，**从 HTTP 请求头中提取客户端的真实 IP 地址**。当 Nginx 作为反向代理服务器时，客户端请求会经过反向代理服务器，再由反向代理服务器转发给后端的真实服务器处理。在这个过程中，Nginx 在请求头中添加了 `X-Forwarded-For` 字段，并将客户端的真实 IP 地址追加到该字段的末尾。`$proxy_add_x_forwarded_for`可以从这个字段中提取出客户端的真实 IP 地址，从而获取客户端的真实 IP 地址。

因此，`$remote_addr`和`$proxy_add_x_forwarded_for`都是用于获取客户端 IP 地址的，但是 `$remote_addr` 适用于直接与客户端通信的场景，而 `$proxy_add_x_forwarded_for` 适用于 Nginx 作为反向代理服务器时获取客户端真实 IP 地址的场景，二者的使用场景不同。

### 2、X-Forwarded-For伪造客户端IP漏洞 ###

这部分主要看[利用X-Forwarded-For伪造客户端IP漏洞成因及防范][X-Forwarded-For_IP]这篇文章。虽然很详细，但理解完后，过一段时间忘了又得再理解。因此，以下内容主要对这篇文章的总结，快速回忆。

> ![在这里插入图片描述][a747e5b66a7a40df86efb5de8d37ef7f.png]

*  注意：  
    `$proxy_add_x_forwarded_for` 会将和Nginx直接连接的客户端IP**追加**在请求原有X-Forwarded-For值的右边。  
    `$remote_addr` 这个是无法伪造的，即使客户端伪造也会被**覆盖掉**，而不是追加。

1.  存在多层Nginx情况下：

# 外层
    server {
        
    	listen	8080; # Nginx监听端口
    
    	location /testApi1 {
        
    		# 反向代理
    		proxy_pass http://kwtest1;
    		proxy_set_header X-Forwarded-For $remote_addr;
    	}
    }
    
    # 内层
    server {
        
    	listen	8080; # Nginx监听端口
    
    	location /testApi2 {
        
    		# 反向代理
    		proxy_pass http://kwtest2;
    		proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    	}
    }

如果有多层代理，那么只要在直接对外访问的Nginx上配置X-Forwarded-For为`$remote_addr`，内部层的Nginx还是要配置为`$proxy_add_x_forwarded_for`，不然内部层的Nginx又会覆盖掉客户端的真实IP。

1.  单层Nginx，即对内又对外的情况：

# 内外层
    server {
        
    	listen	8080; # Nginx监听端口
    
    	location /testApi3 {
        
    		# 反向代理
    		proxy_pass http://kwtest3;
    		proxy_set_header X-Real-IP $remote_addr;
    		proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    	}
    }

`X-Real-IP` 头部会包含真实的客户端 IP 地址，`X-Forwarded-For` 头部会包含一个逗号分隔的 IP 地址列表，其中第一个 IP 地址应该是真实的客户端 IP 地址

[X-Forwarded-For_IP]: https://xxxxg.blog.csdn.net/article/details/83054462?spm=1001.2101.3001.6661.1&utm_medium=distribute.pc_relevant_t0.none-task-blog-2~default~BlogCommendFromBaidu~Rate-1-83054462-blog-78185057.235%5Ev38%5Epc_relevant_anti_t3&depth_1-utm_source=distribute.pc_relevant_t0.none-task-blog-2~default~BlogCommendFromBaidu~Rate-1-83054462-blog-78185057.235%5Ev38%5Epc_relevant_anti_t3&utm_relevant_index=1
[a747e5b66a7a40df86efb5de8d37ef7f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/16/bb6af916750947079856ce0a92891fa9.png