zcriptz
1
Ómicron
Programador
Verificación en dos pasos activada
Verificado por Whatsapp
Suscripción a IA
Parece que algunos usan:
Para obtener la IP del visitante.
Esta es una cabecera enviada por el cliente que es muy fácil de editar, por ejemplo con el siguiente código:
Podría poner 127.0.0.1 y sería local, simular otra IP, o bien poner cualquier cosa.
Si guardan la IP obtenida así en una base de datos, y creyendo que no te pueden inyectar "por la IP" no le haces un escape, te pueden inyectar.
(Hace unos años los clones de Taringa, eran casi todos inyectables por esto mismo)
Así que tengan cuidado con esta cabecera ya que no les garantiza que realmente sea la IP del visitante, háganle un escape y chequeén que tenga formato de IP.
PHP:
$_SERVER['HTTP_X_FORWARDED_FOR'];Para obtener la IP del visitante.
Esta es una cabecera enviada por el cliente que es muy fácil de editar, por ejemplo con el siguiente código:
PHP:
<?php
$ip_fake = 'LOQUESEA';
$ch = curl_init('http://myl.ink/ip.php');
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_HTTPHEADER, array('X-FORWARDED-FOR: '.$ip_fake));
echo curl_exec($ch);
curl_close ($ch);
?>Podría poner 127.0.0.1 y sería local, simular otra IP, o bien poner cualquier cosa.
Si guardan la IP obtenida así en una base de datos, y creyendo que no te pueden inyectar "por la IP" no le haces un escape, te pueden inyectar.
(Hace unos años los clones de Taringa, eran casi todos inyectables por esto mismo)
Así que tengan cuidado con esta cabecera ya que no les garantiza que realmente sea la IP del visitante, háganle un escape y chequeén que tenga formato de IP.
Última edición:
