へぼへぼCTO日記 - CakePHPのgetClientIPを使っていいのは小学生までだよねー

PHPで開発をすることが多くなりPerlの良さを再確認している今日この頃ですが皆さんいかがお過ごしでしょうか。 さて、今日は今もっともナウいPHPのWebアプリケーションフレームワークであるCakePHPのお話を一つ。 CakePHPには組み込みコンポーネントとしてリクエストハンドラ(RequestHandler)が備わっています。 リクエストハンドリング :: 組み込みのコンポーネント :: マニュアル :: 1.2 Collection :: The Cookbook: このRequestHandlerのメソッドであるgetClientIPが小学生には危険そうだというお話。(あ、このエントリのタイトル逆ｗ) まずはgetClientIPの実装コードを。(1.2を例にとっているが1.1もほぼ一緒である) https://trac.cakephp.org/browser/trunk/c

[tell-k]

『ここで一度整理しておきたいが、phpで取得できる$_SERVER['REMOTE_ADDR']はwebサーバに実際に接続してきたtcp/ipにおける送信元アドレスであり、3ウェイ・ハンドシェイクにより検証されている信頼性の高い送信元IPアドレスといえる(もちろんシーケンス番号の問題とかもあるが)。それに比べhttpリクエストヘッダに記述されるFORWARDED_FORX-FORWARDED-FORの値は、webサーバにとってはまったく検証を経ていない信頼性の低いアドレスなのである。』

[innx_hidenori]

クライアントIPアドレス

[hnw]

だがちょっと待ってほしい。CakePHPは内部ネットワークにproxyがあるような環境でこそ使ってほしいというメッセージなのかもしれない。Webサーバ1台の環境でサービスを提供していいのは小学生までだよねー。

[todesking]

CakePHPアプリ,HTTPヘッダでIP偽装

[mi1kman]

CakePHPのgetClientIPはIP Spoofingが可能なため、ケータイWebなどで接続元IPアドレスを認証要素にしている場合などに危険

[oooooooo]

へぼへぼ CTO 「ちなみにこの件はCakePHP開発側に伝えるべきなのだろうか。しかしこれだけ確信的にコードに書かれていると「仕様です」という感じがしないでもない。」

[studio-m]

CakePHPのgetClientIPに任意のIPを注入できる

[YasSo]

「getClientIPには任意のIPアドレスを注入できる」「httpリクエストヘッダに記述されるX-FORWARDED-FORの値は、webサーバにとってはまったく検証を経ていない信頼性の低いアドレス」

[riaf]

CakePHP を使っていいのは小学生までなので、全く問題がない。

[hurvinek]

X-FORWARDED-FORは信用しないこと．でもこういう実装は他のWebアプリにもありそう．

[akiyan]

これはあぶない。ちなみに実際のコードでは$_SERVER['REMOTE_ADDR']はenv('REMOTE_ADDR')かな。