хз как можно подменить ip...
Переменная $_SERVER - это массив, содержащий информацию, такую как заголовки, пути и местоположения скриптов. Записи в этом массиве создаются веб-сервером.

браузер передает, но все же хз как можно подменить

От запросов клиента. Ты без проблем сможешь подменить протокол ip на любой, благо в наше время софт позволяет, но как то внедрить эту подмену в инъекцию - точно нет