サイト実装の可能性のある脆弱性を特定しようとしています。
ユーザーがローカル IP アドレスまたは外部からサイトにログインしているかどうかを判断できる必要があります。IP アドレスがスプーフィングされる可能性があることはわかっていますが、スプーファーは多くの情報を取得することはできません。
人がローカル IP を偽装し、事後アクションを実行してサーバーのデータを変更する可能性があると考えていましたが、これは困難です (シーケンス番号の予測)。
サイトがすべての投稿リクエストで検証トークンを使用している場合、これが役立つ場合があります。特に、.Net MVC 4 の AntiForgeryToken を使用しています。トークンがどのようにユーザーにキー設定されているかわかりません。
私の質問は、スプーファーがトークンを取得するために通常どおりページにアクセスし、IP をスプーフィングしてトークンを使用して投稿した場合、これは成功するでしょうか?
私たちは信じられないことの領域に入っていることを知っていますが... 例が役立つかもしれません. ユーザーがアプリケーションにログインしたときに (HTTP_X_FORWARDED_FOR を使用せずに) IP を検出し、セッションをローカルまたはリモートとして設定したとします。悪意のあるユーザーがログイン画面を読み込んでトークンを取得し、IP アドレスを偽装して (シーケンス番号を特定して投稿できると仮定して)、その IP アドレスをローカルとして設定してログインを投稿することはできますか?
任意の洞察をいただければ幸いです。
ありがとう、フィリップ