Syncie schreef:
[...]
Ik moet je heel eerlijk zeggen, ik weet het niet zeker, maar volgens mij is $_SERVER['REMOTE_ADDR'] ook niet 100% te vertrouwen.
Ik valideer het IP van de bezoeker altijd voordat de rest uitgevoerd wordt. Als m'n systeem een ongeldig IP vind wordt alles afgebroken en kan de bezoeker de website niet bezoeken.
Nee, er kan iig geen html in uitgevoerd worden. Ik ben wel eens ip's tegengekomen in logs van een site in formaat "xxx.xxx.xxx.xxx, xx, xx" oid, dus met die komma's erachter, maar html kan sowieso niet. Alle informatie van de site wordt nl teruggestuurd naar je ip, dus je zou geen informatie meer kunnnen ontvangen.
Daarom is ip spoofing ook zo ingewikkeld en wordt het zelden toegepast. Je moet een zombie pc overnemen met het ip die je wilt gebruiken, en dat ip moet je in je headers zetten. De informatie van de webserver wordt dan naar desbetreffende pc gestuurd (die je dus hebt overgenomen), en daar moet je de data dan weer van forwarden naar je eigen pc.
Heb hier verder geen verstand van, maar ben dit keertje tegengekomen.
Daarbij moet je nóóit vertrouwen op X_FORWARDED_FOR, want zoals sommigen weten (Blerg.org exploit) heb ik die standaard ingesteld op het ip van Google.nl (dmv Proxomitron).
In theorie zou je kunnen kijken of een gebruiker via een proxy surft. Als je een script (of liever een uitvoerbaar bestand, gaat ws sneller) maakt die bij elke eerste (alleen de eerste, anders gaat het browsen over je site zo kapoetsloom voor de gebruiker) request verbindt met het ip van de gebruiker op elke bekende proxy port, zou het in principe mogelijk kunnen zijn om te kijken of desbetreffende computer een proxyserver is.
Zoiets vermoedde ik van René's systeem, maar hij was er verder niet duidelijk over.