Может ли $ _SERVER ['REMOTE_ADDR'] подделать произвольную строку?

Question

Я читал несколько раз, что получение IP-адреса от клиента с использованием $ _SERVER ['REMOTE_ADDR'] безопасно, потому что он НЕ МОЖЕТ быть изменен пользователем напрямую (только с помощью прокси-серверов и т. Д.), Но он всегда возвращает IP-адрес. До сегодняшнего дня я получил сообщение об ошибке с моего сайта о том, что ошибка mysql возникла в запросе, который проверяет, запрещен ли IP-адрес.

Raw запрос выглядит следующим образом:

SELECT * FROM `bans` WHERE `ip`='{$ip}' 

и получить IP осуществляется с помощью

$ip = $_SERVER['REMOTE_ADDR'] 

Я не делал никакой дезинфекции на $ IP, потому что я предполагаю, что это не может быть изменен пользователем ... И я получил письмо, что не удалось этот запрос:

SELECT * FROM `bans` WHERE `ip`='1'"+order+by+1--+, 111.222.111.222' 

(Примечание: Я поставил 111.222.111.222 вместо нападавших фактический IP)

Мой электронный сценарий также принимает IP с помощью $ _SERVER [ «REMOTE_ADDR»], так что я получил, что «фальшивый» IP там тоже:

IP: 1'"+order+by+1--+, 111.222.111.222 

Его легко дезинфицировать, когда вы знаете, что его можно изменить, но я хочу знать, как это возможно?

Answer 1

Нет, это невозможно подделать.

В коде есть две ошибки.

1. Вы дезинфицировать вещи, с помощью мышления если переменная является «безопасным» или нет. В то время как вы должны формат ваш литерал SQL, оставив это бремя мышления в подготовленном заявлении .
2. У вас есть скомпрометированный способ получения $ ip. Либо $ip, либо $_SERVER['REMOTE_ADDR'] заполнены небезопасным способом. Здесь вы можете найти много ответов на SO, чтобы помочь вам.