一个网站套上CDN，绕过等于把真实地址藏进了保险柜。绕过但保险柜的绕过钥匙孔，永远不止一个。绕过

三年前我帮朋友查一个仿冒钓鱼站，绕过域名解析清一色指向Cloudflare的绕过节点。按常规思路，绕过扫端口、绕过查子域、绕过翻历史DNS，绕过折腾两小时毫无进展。绕过最后我在搜索引擎缓存里翻到一条两年前的绕过招聘帖子——那站长居然用公司邮箱注册过技术论坛，帖子签名里挂着个旧域名。绕过一解析，绕过好家伙，绕过源站IP直接暴露在114段的老服务器上。CDN再厚，也架不住人自己把钥匙扔地上。

真实IP的泄露路径，往往比你想的野。最经典的是DNS历史记录，SecurityTrails这类平台能查到域名切换CDN之前的A记录。很多站是后来才套的CDN，早期裸奔时期的IP早被爬虫存档了。你不需要什么黑客技术，会查字典就行。

还有SSL证书这个老坑。攻击者直接用Shodan或Censys扫全网443端口，把证书序列号和目标站比对——只要源站没关掉SSL握手，证书就会暴露它自己的位置。这法子笨但有效，尤其对那些只给Web层套CDN、却忘了邮件服务器或FTP也挂着同一张证书的站长。

用子域名撬动主站也是条捷径。很多企业只给www和主域名上CDN，类似mail、crm、test这种子域直接裸奔。你拿爆破工具跑一遍常见子域名字典，找到个解析到源站的子域，主站IP就跟着现形。有个案例我记得清楚——某电商平台主站防护严密，结果他们给内部用的oa子域没加白名单，直接暴露在公网，IP段和主站同机房，等于白送。

再说个土办法，邮件头分析。网站给你发注册验证邮件时，看原始邮件头里的Received字段，能顺着邮件服务器的跳转记录摸到源站IP。前提是邮件服务器和Web服务器在同一机房，或者干脆共用IP。这招对中小站命中率极高，因为没人会为了发个验证邮件单独搞一套CDN。

别忘了favicon.ico这个细节。CDN缓存规则通常只覆盖静态资源路径，但源站的favicon可能没走缓存规则。你用目标站的favicon哈希去Fofa或ZoomEye搜全网，找到相同图标的其他站点，那些站点八成和源站同IP。别笑，我见过某政府网站这么暴露过——他们懒得改默认图标，一套模板生成的所有子站全挂在同一台老服务器上。

找到真实IP只是第一步，验证才是关键。直接访问那个IP，看返回的HTTP头里有没有和CDN节点不一致的Server字段，或者Host头不对时是否弹出默认站点页面。最稳妥的办法是改本机hosts把域名指向候选IP，浏览器直接访问——如果页面正常加载且无证书报错，基本就实锤了。

最后泼盆冷水：真碰上配置严格的大厂，以上招数全白搭。人家把全站流量强制走CDN，源站只对CDN节点网段放行，其他IP一律丢进黑洞。这时候还能用的办法就剩供应链攻击或者社会工程学，那已经超出技术范畴了。所以这文章的标题其实该叫《绕过大部分CDN找到真实IP》——剩下的那部分，留给时间和耐心去解决。