内容摘要：手里有个目标站，套了CDN，ping过去全是Cloudflare的节点IP。常规扫描没意义，得想办法把源站IP挖出来。 最直接的路子是查历史DNS记录。CDN不是从网站上线第一天就挂上的，早年间域名解

手里有个目标站，绕过套了CDN，找站的真实ping过去全是到百度网地址Cloudflare的节点IP。常规扫描没意义，绕过得想办法把源站IP挖出来。找站的真实

最直接的到百度网地址路子是查历史DNS记录。CDN不是绕过从网站上线第一天就挂上的，早年间域名解析记录可能直接暴露过源站IP。找站的真实用SecurityTrails或ViewDNS.info这类平台查A记录历史，到百度网地址翻到建站初期的绕过解析结果，运气好能直接看到真实IP。找站的真实我上次测一个政府网站，到百度网地址翻到2016年的绕过记录，源站IP就那么明晃晃挂着，找站的真实连CDN都没套。到百度网地址

另一条路是看子域名。很多站只给主域名套CDN，子域名裸奔。用子域名爆破工具跑一遍，或者去Censys、FOFA搜SSL证书关联的子域名。找到个没防护的子域名，解析出来就是源站IP。实际操作中，开发环境、测试平台、旧版后台往往是最容易漏的。比如mail.xxx.com或dev.xxx.com，解析结果直接指向源站。

邮件头也是个突破口。目标站发的注册验证邮件、密码重置邮件，原始邮件头里会带上发送服务器的IP。如果发信服务器和Web服务器在同一台机器或同一网段，这个IP基本就是源站。把邮件头里的Received字段翻出来，逐层看，最后一个非CDN的IP就是线索。

还有一招，利用SSL证书的证书透明度日志。通过crt.sh查目标域名，能看到所有签发的证书，有些证书会暴露额外的IP或域名信息。结合证书的SAN字段，可能挖出没被收录的解析记录。

再讲个偏门但有效的：让目标站主动连你。在网站前端注入一个外部资源请求，比如在评论区贴个图片链接，指向你自己的服务器。如果网站没做严格的CSP限制，浏览器会直接请求你的服务器，此时看到的来源IP就是访客的真实IP。但如果是管理员访问后台，那这个IP就可能是源站。这个方法需要能控制页面内容，XSS注入或者发帖处贴外链都行。

拿到疑似IP后，验证方法很简单。直接改本机hosts文件，把域名指向这个IP，然后访问网站。如果页面正常加载，且没有跳转到CDN节点，基本就坐实了。再对比下响应头里的Server字段和CDN节点的差异，源站通常会有更具体的Web服务器版本信息。

整个过程就像剥洋葱，每层都有痕迹可循。别指望一次成功，多组合几种手法，耐心翻历史数据，源站IP总会漏出来。毕竟，CDN只是藏了IP，但没法抹掉所有网络痕迹。