刷票原理XFF理解

刷票原理 X-Forwarded-For

刷票的原理是通过X-Forwarded-For(XFF)实现的。

X-Forwarded-For 是一个 HTTP 扩展头部,主要是为了让 Web 服务器获取访问用户的真实 IP 地址。

一些开发者为了获取客户IP,我们经常会使用request.remote_ip来获得用户IP。

但是很多用户都是通过代理来访问服务器的,如果使用remote_ip这个全局变量来获取IP

开发者往往获得的是代理服务器的IP,并不是用户真正的IP。

1
客户端=>正向代理=>透明代理=>服务器反向代理=>Web服务器

下面通过一个例子来实践

实践伪造 XFF

环境链接:点击传送

打开实验环境,是个投票系统,a2019现在是88票第4名,伪造XFF刷到第一名

点击给a2019投票,Burp抓包添加X-Forwarded-For字段,Intruder功能爆破重放

1
X-Forwarded-For:10.10§.§1§

因为是微信投票,修改User-Agent为:

1
Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.98 MicroMessenger/6.0NetType/2G