CDN 就像给服务器穿了一件防弹衣，何绕获但防弹衣的真实拉链往往露在外面。我见过太多运维把源站 IP 直接暴露在 DNS 历史记录里，何绕获还自信满满地说“我们上了 CDN，真实绝对安全”。何绕获

最笨也最有效的真实方法，是何绕获查 SSL 证书。很多 CDN 只代理 80 端口，真实443 端口回源时用的何绕获证书是源站自己签的。你拿 crt.sh 或 censys 搜域名，真实把证书序列号、何绕获签发者信息翻出来，真实再比对证书里的何绕获 SAN 字段——源站 IP 经常就这么被带出来。我上周测试某电商平台，真实证书里直接写着 192.168.1.10，何绕获这哪是漏洞，这是明送。

历史 DNS 记录更离谱。SecurityTrails 和 ViewDNS.info 上存着过去几年的解析记录，CDN 切换前总有裸奔期。你直接翻 2019 年的 A 记录，往往能捞到源站 IP。有个做游戏加速器的朋友，他们内部排查攻击源时，发现攻击者就是靠这个找到源站的——攻击者比运维更懂历史。

邮件头也是个被忽视的入口。很多企业把邮件服务器和 Web 服务器放在同一台机器或同一网段，而邮件服务器通常不挂 CDN。你给目标域名随便发封邮件，看 Received 头里最后一跳的 IP。如果那 IP 的 80 端口开着且返回的证书和主站一致，基本就锁定了。别笑，我见过某银行这么干，邮件头里直接暴露了核心业务服务器的内网 IP 段。

再提一个技术流思路：利用 CDN 的配置失误。部分 CDN 支持通过 X-Forwarded-For 头直接回源，你构造请求时伪造这个头，源站如果没校验，就会把响应直接返回给你。更常见的是 CDN 只针对特定域名做了缓存，你直接访问源站 IP 加上 Host 头，如果源站没做域名白名单，就会暴露真实响应。我试过用 curl -H "Host: victim.com" http://源站IP，结果直接拿到了管理后台登录页。

最后说个土办法，但特管用——查子域名。很多运维只给主域名挂 CDN，子域名（比如 test.victim.com、dev.victim.com）直接解析到源站。你用 subfinder 或 amass 跑一遍，找到没挂 CDN 的子域名，ping 一下拿到的 IP 就是源站。之前有个社交 App，主站防御固若金汤，结果 api.staging.victim.com 直接暴露在公网，数据库端口还开着。

别以为挂了 CDN 就万事大吉，真正的安全是让源站 IP 彻底消失在公网视野里。但现实是，大部分团队的 CDN 配置都像筛子，只是没人愿意花时间去捅破。下次做渗透测试，先从这几个角度试试，大概率会有惊喜。

(责任编辑：综合)