如何绕过 CDN 查找真实 IP

1. 子域名查询

• 原理: 很多时候，一个网站的主域名使用了 CDN，但其子域名（例如 blog.example.com、ftp.example.com 或 mail.example.com）却没有使用。这些子域名可能与主域名部署在同一个服务器上，或者在同一个 IP 段内。
• 方法:
  • 使用自动化工具（如 Sublist3r、Amass、OneForAll）进行大规模子域名扫描
  • 通过在线的子域名查询服务（如 站长之家、VirusTotal）进行查询
  • 然后对这些子域名进行 ping 或 nslookup，如果返回的 IP 地址与主域名不同，且多次查询结果稳定，就可能找到了真实 IP

2. 邮件头信息

• 原理: 很多网站的邮件服务器（如 SMTP）与 Web 服务器部署在同一台机器上，而邮件服务器通常不使用 CDN
• 方法:
  • 尝试给目标网站的邮箱（如 admin@example.com）发送一封邮件
  • 在你的邮箱中查看这封邮件的原始邮件头（Original Headers）
  • 在邮件头中寻找 Received: from 字段。这个字段记录了邮件在传输过程中经过的服务器 IP 地址。通常，第一个 Received: from 后面的 IP 地址就是邮件服务器的真实 IP，而这个 IP 很可能就是网站的真实 IP

3. 历史 DNS 记录查询

• 原理: 一个网站在上线 CDN 之前，其 DNS A 记录直接指向的就是真实 IP。一些服务会保存这些历史记录
• 方法:
  • 使用在线服务（如 SecurityTrails、WhoisXML API 或 ViewDNS）查询域名的历史 DNS 解析记录
  • 通过这些历史记录，你可以找到在 CDN 启用之前网站使用的真实 IP 地址

4. SSL 证书查询

• 原理: SSL 证书可能会包含一些指向源站的信息，例如在某些情况下，证书颁发者会记录申请者的 IP 地址
• 方法:
  • 通过在线服务（如 Censys、Shodan）对目标域名进行 SSL 证书查询
  • 查看证书的 subjectAltName 字段，或者检查是否有其他关联信息泄露了真实 IP
  • 在某些情况下，如果目标网站使用了与源站 IP 绑定的证书，可以在 Shodan 等搜索引擎中直接搜索证书哈希或序列号来定位真实 IP