在对 Web 服务的调用中欺骗 IP 地址需要多少努力？答案

【问题标题】：How much effort does it take to spoof an Ip Address in a call to a webservice?在对 Web 服务的调用中欺骗 IP 地址需要多少努力？
【发布时间】：2008-10-22 15:32:47
【问题描述】：

我不想知道怎么...有多复杂....

我正在考虑根据调用者的传入客户端 IP 地址保护一个或 2 个 Web 服务。这是否安全？

如果 IP 地址被欺骗，那么结果肯定会被发送回被欺骗的地址，因此不会到达欺骗者？

更新：好的，据我所知....我应该创建一个 Gettoken() 方法，该方法检查 IP 地址并将具有超时的密码重要令牌传递给任何有效的 IP 地址。在允许任何类型的副作用之前，任何其他方法都需要这样做。

由于攻击者无法（可能）在没有有效 IP 的情况下获得令牌，他将无法有效调用我的任何“危险”网络方法？

【问题讨论】：

有时欺骗者可能不会寻求回应。他们只是想做一个 INSERT 或 UPDATE。

标签： web-services security ip-address spoof

【解决方案1】：

如果您尝试执行比 DDoSing 更复杂的操作或触发安全漏洞，那么欺骗不是解决方案。您需要的是一个系统，它将为您的请求提供前端，从而隐藏请求的真实来源。由于我们谈论的是 HTTP 流量，所以 Anonymous Proxy 就可以了。

出于您所指的安全目的，这取决于是否可以采取行动。如果该站点纯粹是信息性的，那么您是安全的。如果网站允许执行操作（例如，更新这个、删除那个），那么请考虑至少添加密码验证。

要记住的另一个问题是，任何控制您的服务器和您希望允许的 IP 地址之间的路由器的人都可以拦截数据包。这将允许他们在您的服务器没有意识到的情况下进行完整的双向欺骗通信。如果您希望信息真正安全，请使用 HTTPS 和身份验证方案来防止此类拦截发生。

【讨论】：

【解决方案2】：

没那么难，就像欺骗您的 IP 地址以进行任何其他通信一样简单 http://en.wikipedia.org/wiki/IP_address_spoofing

但他们不会得到回应。他们欺骗的实际IP地址会。

【讨论】：

所以我应该在 getToken 方法中检查IPAddress，然后在该方法中传递一个令牌。在任何进一步处理之前，所有其他方法都应该需要该令牌。欺骗者不会从第一次调用中获取令牌，因此无法调用任何其他方法？
是的，但是听听其他人和 DDoS 问题。
大部分时间IP欺骗都是盲目的，但是为了保持通信畅通，他们必须敲掉原来的盒子，所以它不会发送RST，基本上用WTF响应服务器？！我没有发送那个。如果他们可以在网络中的某个地方放置一个网络监视器，他们有 2 路信息

【解决方案3】：

你是对的。如果您的服务器响应需要到达客户端以建立双向通信，那么欺骗性 IP 将永远不会收到您的响应。但是，您可能会遭受来自欺骗 IP 的拒绝服务攻击，因为计算您的响应会消耗服务器上的一些 CPU。

【讨论】：

【解决方案4】：

我们的 Web 服务安全性的一部分是要求客户端使用公钥/私钥加密（xml 数字签名）来确保不可否认性，以确保只有被允许的客户端才能访问服务。

【讨论】：