请教各位PHP 攻击者可以隐藏自己的访问的地址吗?

访问者 点击 网址A 后， 日志会记录 当前的网址 A。 现在日志里出现了短时间大批量对网址A的访问， 但日志记录的是网址 B。 我是用如下方法 记录当前网址的：

 <?php
    $sys_protocol = isset($_SERVER['SERVER_PORT']) && $_SERVER['SERVER_PORT'] == '443' ? 'https://' : 'http://';
    $php_self = $_SERVER['PHP_SELF'] ? safe_replace($_SERVER['PHP_SELF']) : safe_replace($_SERVER['SCRIPT_NAME']);
    $path_info = isset($_SERVER['PATH_INFO']) ? safe_replace($_SERVER['PATH_INFO']) : '';
    $relate_url = isset($_SERVER['REQUEST_URI']) ? safe_replace($_SERVER['REQUEST_URI']) : $php_self.(isset($_SERVER['QUERY_STRING']) ? '?'.safe_replace($_SERVER['QUERY_STRING']) : $path_info);
    return $sys_protocol.(isset($_SERVER['HTTP_HOST']) ? $_SERVER['HTTP_HOST'] : '').$relate_url;
?>

如果是真实用户 访问 B网址，B网址是另一套程序，是不会记录当前网址的。
请问大家，攻击者是如何实现的？ 相当于隐藏了自己实际访问的地址 A