Cabeceras de reenvío y la IP real del cliente

La dirección del cliente llega por dos caminos. Uno es la conexión que la aplicación ve directamente: no se puede falsificar sin controlar la red, pero con capas delante es siempre la de la capa anterior. El otro es una cabecera de reenvío, que cada capa va completando: ahí está la dirección útil, pero es texto dentro de la petición y cualquiera puede mandarla puesta desde el principio.

El estándar que normalizó este tipo de cabecera lo dice sin rodeos en sus consideraciones de seguridad: el contenido no es de fiar, porque cualquier nodo del camino, incluido el cliente, puede alterarlo o inventarlo. MITRE recoge el error como uso de una fuente menos fiable cuando existe otra mejor (CWE-348), y pone como ejemplo justamente este: decidir con la cabecera de reenvío en vez de con la dirección de la conexión.

Abre el laboratorio y lee topologia.txt: dice cuántas capas participan y, por tanto, cuántas entradas tiene la cadena de una petición normal. Después abre registro-acceso.txt y busca las líneas cuya cadena es más larga de lo que el camino justifica. Esa entrada sobrante la puso quien hizo la petición, no una capa.

El servidor de aplicación tiene configurada la sustitución de la dirección del cliente, pero el archivo deja fuera una directiva. Léelo con atención: el propio comentario explica qué pasa cuando esa directiva no se declara y por qué la dirección que acaba registrando el servidor es la de la salida de la red de distribución y no la del navegador.

El código del límite toma la primera entrada de la cadena y la usa para dos cosas: contar compras por dirección y escribirla en la auditoría. Si esa entrada la eligió quien compra, el contador nunca llega al tope y la auditoría guarda una dirección falsa. Cuenta en el registro de acceso las peticiones cuya cadena trae más direcciones que saltos tiene el camino.

Este hallazgo se cierra en dos sitios a la vez, y conviene escribirlo así en el informe. En el borde: que la capa de confianza reescriba la cabecera en vez de dejar que crezca por delante, o que al menos se sepa cuántas entradas añade. En la aplicación: dejar de leer la cabecera cruda y tomar la dirección que la configuración de dirección real ya calculó descartando las capas conocidas.