绕过CDN最直接的绕过办法，就是绕过找到源站IP。这事在渗透测试里叫“回源”，绕过在搞黑产的绕过人嘴里叫“找真实IP”。说白了，绕过CDN就是绕过个盾，你打不穿盾，绕过那就绕过去捅拿盾的绕过人。
我见过最蠢的绕过绕过方式，是绕过直接查历史DNS记录。很多站长在接入CDN之前，绕过域名直接解析到服务器IP，绕过这些记录被SecurityTrails、绕过ViewDNSinfo这类服务存着。绕过你只要翻翻2018年或者2019年的绕过A记录，经常能直接扒出源站。有个朋友做众测，花了五分钟就靠这个拿了个高危。别笑，真的有效——因为很多公司换CDN的时候，压根没想过要清理旧记录。
另一个路子是查子域名。主站挂了CDN，但开发环境、测试站点、邮件服务器往往没挂。你爆破一下子域名，比如mail.xxx.com、test.xxx.com、vpn.xxx.com，解析出来的IP很可能和源站同机房，甚至就是同一台机器。有个技巧：用fofa或者zoomeye搜“title:xxx.com”的SSL证书，证书里常有额外的域名绑定，那些域名如果没挂CDN，直连IP就是源站。
还有种更野的玩法，利用SSL证书的“IP直连”特性。你访问源站IP时，如果服务器上绑定了多个域名，直接IP访问会返回默认站点或者报错。但你可以把HTTP的Host头改成目标域名，再配合SNI（Server Name Indication），很多Nginx配置不严的服务器就直接把内容吐出来了。这招对CDN后面藏了多站点的服务器特别管用。
别忽视邮件头。很多公司自己搭的邮件服务器，发出去的邮件头里会带上源站IP。你给他们的客服邮箱发一封邮件，然后查看原始邮件头，找到Received: from那一行，里面那个IP往往就是源站。这个技巧老套，但成功率不低——因为企业通常把邮件系统和业务系统放在同一网络，甚至同一台物理机上。
如果目标用了云WAF（比如阿里云盾、腾讯云WAF），你还能试试用国外IP访问。有些WAF的规则只对国内IP做拦截，国外IP直连源站时，WAF直接放行。用一台海外VPS去访问www.xxx.com，如果返回内容和国内访问不一样，或者干脆没被拦截，那大概率就是绕过去了。这个现象在中小型站点里特别常见，因为他们的WAF策略配得糙。
最后说个偏门的，利用DNS的“A记录+AAAA记录”差异。有些CDN只做了IPv4的加速，IPv6没配。你直接解析域名的AAAA记录，如果能拿到IPv6地址，那很可能就是源站的。用curl -6访问一下，如果返回了页面，恭喜你，盾破了。
写这些不是为了教人干坏事。我的意思是，CDN不是万能保险箱，安全评估的时候，你自己得先知道这些口子在哪。别等别人用这些方法把你扒干净了，你还在那傻乎乎地调CDN缓存规则。