一般用戶使用代理服務(wù)器，很多時(shí)候是不希望暴露自己的真實(shí)IP地址，但最近暴露出一個(gè)WebRTC一個(gè)特性，會暴露我們的真實(shí)IP，對于大多數(shù)瀏覽器例如Chrome、Firefox等都存在這種問題。

　　什么是WebRTC

　　WebRTC（Web Real-Time Communication）是一個(gè)支持網(wǎng)頁瀏覽器進(jìn)行實(shí)時(shí)語音對話或視頻對話的技術(shù)，是谷歌2010年以6820萬美元收購Global IP Solutions公司而獲得的一項(xiàng)技術(shù)。2011年5月谷歌開放了WebRTC的源代碼，在行業(yè)內(nèi)得到了廣泛的支持和應(yīng)用。

　　漏洞影響

　　通過該漏洞，網(wǎng)站管理員可以輕易地通過WebRTC看到用戶的真實(shí)IP地址，即使用戶使用VPN隱藏自己的IP。該漏洞影響了支持WebRTC的瀏覽器，包括Google Chrome和Firefox等常見的瀏覽器。

　　網(wǎng)絡(luò)安全研究員Paolo Stagno測試了70個(gè)VPN提供商，發(fā)現(xiàn)其中有16個(gè)通過WebRTC泄漏了用戶的IP（23％）。你可以通過這個(gè)地址來檢查你的VPN是否泄漏了你的真實(shí)IP。

WebRTC

　　漏洞原理

　　WebRTC采用STUN（Session Traversal Utilities for NAT）、TURN和ICE等協(xié)議棧對VoIP網(wǎng)絡(luò)中的防火墻或者NAT進(jìn)行穿透。用戶發(fā)送請求至服務(wù)器，STUN服務(wù)器會返回用戶所用系統(tǒng)的IP地址和局域網(wǎng)地址。

　　返回的請求可以通過JavaScript獲取，但由于這個(gè)過程是在正常的XML/HTTP請求過程之外進(jìn)行的，所以在開發(fā)者控制臺看不到。這意味著，這個(gè)漏洞的唯一要求就是瀏覽器要支持WebRTC和JavaScript。

　　解決方法

　　對于用戶來說，如果不想自己的真實(shí)IP地址泄漏，可以通過禁用WebRTC來防止真實(shí)IP地址泄漏。

　　Firefox瀏覽器禁用WebRTC的方法是：在瀏覽器上輸入：about:config。之后搜索：media.peerconnection.enabled。找到它后雙擊，將其改成 false 即可。

　　Chrome瀏覽器禁用WebRTC的方法是：在Chrome應(yīng)用商店里，安裝一個(gè)名為WebRTC Leak Prevent的擴(kuò)展，然后選擇 Use my Porxy server(if present) 即可。