X-Forwarded-Forヘッダー偽装に負けないClientIPの決め方（With Gin）

X-Forwarded-Forヘッダー偽装に負けないClientIPの決め方（With Gin） TRIAL Meetup #1 yamatai12 1

自己紹介 yamatai12（Webエンジニア） SNS X(taiyama1212) Qiita(yamatai12) Zenn(yamatai12) 趣味は筋トレ 2

最近トライした技術 IPアドレス周りの技術中継サーバーを挟む場合にクライアントのIPアドレスを特定する方法 3

背景業務でIPアドレス制限の処理を触っていたそこで以下を理解したどのようにして中継サーバーを挟む場合にクライアントのIPアドレスを特定しているのか X-Forwarded-Forヘッダーが接続元のIPアドレスの偽装に使われる可能性があること 4

IPアドレスについてインターネットの世界で使われる、住所に相当する情報 https://wa3.i-3-i.info/img/data/10900/d010942-2.png 5

リモートIPアドレスについて接続する（ or される）相手のIPアドレス https://wa3.i-3-i.info/img/data/10900/d010942-7.png 6

中継サーバーがある通信ではクライアントのIPアドレスを特定しづらい一般的に負荷分散、ログ、分析等のために中継サーバーが挟まれるサーバが見えるのは “直前の相手” のIPだけ 7

X-Forwarded-Forヘッダー（1/2）非標準だが事実上の標準ヘッダー X-Forwarded-For: クライアントIP, 中継機器1, 中継機器2 基本的に中継するたびに前のサーバーのIPをカンマで区切りながら追記する 8

X-Forwarded-Forヘッダー（2/2） X-Forwarded-Forヘッダーを使うと中継サーバーがある通信でもクライアントIPを特定できる 9

ForwardedヘッダーではなくなぜX-Forwarded-Forヘッダーなのか理由） X-Forwarded-Forヘッダーは広く使われていた後発でX-Forwarded-Forの標準化版であるForwardedヘッダーが登場したから 10

Forwardedヘッダーについて Forwardedヘッダー X-Forwarded-Forの後に登場した（標準化は2014年） X-Forwarded-Forの標準化版 MDNのX-Forwarded-Forヘッダーの説明現行のどの仕様書にも含まれていません。このヘッダーの標準化版は Forwarded ヘッダーです。 https://developer.mozilla.org/ja/docs/Web/HTTP/Reference/Headers/X-Forwarded-For#仕様書
11

X-Forwarded-Forヘッダーは広く使われてきた Forwardedヘッダーを標準化したrfc7239で以下のように書かれていた https://datatracker.ietf.org/doc/html/rfc7239 ユーザーのIPアドレスは、広く使用されているヘッダーフィールドX-Forwarded- Forを介してプロキシによって既に転送されている可能性があることに注意してください。 12

クライアントIPアドレスの特定の仕方（1/2） GinのClientIPメソッドの処理を見る https://pkg.go.dev/github.com/gin-gonic/gin#Context.ClientIP 前提）信頼できるプロキシをサーバーで設定している router := gin.Default() router.SetTrustedProxies([]string{"192.168.1.2"}) https://pkg.go.dev/github.com/gin-gonic/gin#Engine.SetTrustedProxies
理由） Ginはデフォルトで全てのプロキシを信頼してしまう(2025年10月時点) 13

Ginはデフォルトで全てのプロキシを信頼してしまう https://gin-gonic.com/ja/docs/deployment/ 14

クライアントIPアドレスの特定の仕方（2/2） 15

なぜ「信頼されたプロキシーのIPアドレス」であるかを確認する必要があるのか理由） X-Forwarded-Forヘッダーを悪用してクライアントIPアドレスの偽装ができる為 16

X-Forwarded-Forヘッダーを使ったクライアントIPアドレスの偽装悪意を持った攻撃者がリクエストヘッダーに以下を付与してリクエストする X-Forwarded-For: 1.2.3.4 サーバーが常にX-Forwarded-Forの左端を送信元として採用する設定をしている場合クライアントIPアドレスの偽装が成立する 17

X-Forwarded-Forヘッダー偽装の対策プロキシ側受け取った偽装値は捨てて、観測した送信元だけにする nginxの例 proxy_set_header X-Forwarded-For $remote_addr; サーバー側信頼できるプロキシ経由のときだけX-Forwarded-Forヘッダーを解釈する 18

まとめ GinのClientIPメソッドは「プロキシを信頼した前提」で実装している(2025年10月時点) X-Forwarded-Forヘッダーは接続元のIPアドレスの偽装に使われる可能性がある信頼できるプロキシ経由のときだけX-Forwarded-Forヘッダーを解釈する 19

今後勉強したいこと Forwardedヘッダーについて https://developer.mozilla.org/ja/docs/Web/HTTP/Reference/Headers/Forwarded X-Real-IPヘッダーについてプロキシサーバでできるクライアントIPの偽装対策 20

参考 https://www.netassist.ne.jp/techblog/32879/ https://zenn.dev/villa_ak99/articles/316b6bfa103b44 https://tech.synapse.jp/entry/2024/03/18/170000 https://qiita.com/naka_kyon/items/8532cea02675180cb878 https://developer.mozilla.org/ja/docs/Web/HTTP/Reference/Headers/Forwarded https://pkg.go.dev/github.com/gin-gonic/gin#Engine.SetTrustedProxies https://gin-gonic.com/ja/docs/deployment/ https://pkg.go.dev/github.com/gin-gonic/gin#Context.ClientIP https://christina04.hatenablog.com/entry/2016/10/25/190000
https://wa3.i-3-i.info/word110942.html https://wa3.i-3-i.info/word172.html 21

X-Forwarded-Forヘッダー偽装に負けないClientIPの決め方（With Gin）

X-Forwarded-Forヘッダー偽装に負けないClientIPの決め方（With Gin）

yamatai12

More Decks by yamatai12

Other Decks in Technology

Featured

Transcript