新手必看！CDN破解攻略，用大白话讲清如何绕过找真实IP
好多时候咱们扫描网站，会发现ping出来的IP都是全国各地的节点，就像在玩捉迷藏，根本找不到真正的服务器地址。别着急！这篇文档就像是专门为咱们新手定制的“CDN破解攻略”，它用最通俗易懂的大白话，讲清楚CDN是什么，以及如何绕过它找到真实IP。
一、先搞懂：CDN 到底是啥？为啥网站都爱用它？
打个比方：CDN 就是 "网络快递中转站"
咱先想象一个场景，你身处北京，想要访问深圳某公司的官网。在这个时候，数据需要从深圳传输到北京，距离超过2000公里。而且路上可能会遇到堵车情况，也就是网络延迟较高。如此一来，打开网页就需要等待很长时间。那么CDN是如何解决这个问题的呢？网站会将常用的“热门内容”，例如首页、产品图片等，预先存储到位于北京的中转站，也就是CDN节点 。你访问时，直接从中转站获取数据，这如同在本地超市购物，速度一下子就提升了，延迟能降低50%以上。简单来讲，CDN是内容分发网络，它依靠分布于全球的无数个中转站，将网站内容缓存至离用户最近之处，这样既能减轻源站压力，又能让用户访问得更快。
护网时为啥说 CDN 是 "拦路虎"？
二、CDN 工作原理：数据到底怎么在网络里跑？
咱来捋一遍用户访问带 CDN 网站的流程：
用户发起请求，在浏览器输入，浏览器会先去做DNS解析，这一过程是把域名翻译成IP地址 。
域名解析时，CDN 服务商会根据你的位置返回离你最近的节点 IP，此即 DNS 返回 CDN 节点 IP。比如你在上海，CDN 服务商就会给你上海的节点 IP。
节点处理请求：
你所看到的全是节点IP，在整个过程当中，你的请求根本就没有到达源站，因此不管是进行抓包还是扫描，所获取到的都是中转站的IP。
三、绕过CDN寻找真实IP，有6个实用大招，还附有详细操作。
方法 1：挖掘「未开启 CDN 的子域名」（成功率极高，新手务必学习！）
为什么会有效呢？许多网站的主站开启了CDN，然而其博客子域名如blog.xxx.com、邮箱子域名如mail.xxx.com，或许是因为运维人员偷懒，又或者是处于测试环境，没有开启CDN，从而直接暴露了源站IP 。
操作步骤：
挖所有子域名：
subfinder -d xxx.com -o subs.txt # -d指定主域名，-o把结果保存到subs.txt逐个 ping 子域名找真实 IP：
cat subs.txt | while read line; do ping -c 1 $line | grep "PING"; done这条命令的含义是，读取subs.txt里的每一个子域名，对其进行一次ping操作，接着筛选出包含“PING”的行，如此便能看到每个子域名所对应的IP 。
方法 2：查「历史 DNS 记录」（适合老域名，挖旧数据）
域名解析记录不会实时更新，网站早期未开启CDN时的IP，有可能仍存在于公共数据库中，这些旧IP极有可能就是源站IP。
常用平台及操作：
方法 3：借助「邮件服务」，该服务适用于有联系邮箱的站点，具体细节见真章 。
网站的联系邮箱，例如admin@xxx.com，在发送邮件时，邮件头信息会暴露源站IP，这是因为邮件服务器通常直接连接源站 。
操作步骤：
给网站的联系邮箱发送一封邮件，这封邮件可以是注册时用于找回密码的那种，也可以是随意发送的咨询邮件 。
以QQ邮箱为例，打开邮件，点击右上角的“更多”，选择“显示邮件原文”，以此来查看邮件源码。
在源码里搜索Received字段，会看到类似这样的内容：
Received: from xxx.com (unknown [192.168.1.100])
by mail.xxx.com with SMTP id 12345;
Mon, 17 Apr 2025 10:00:00 +0800这里的192.168.1.100便是源站IP，要记住，邮件头里的IP通常不会骗人。
方法4：寻找「未被CDN代理的端口/服务」，（通过从端口漏洞进行突破）
原理：CDN通常只代理80和443端口，也就是Web服务端口，像22端口即SSH，3389端口即RDP，3306端口即MySQL，很多企业没有给这些端口添加CDN，直接将源站暴露了。
操作步骤：
用 nmap 扫描域名的所有端口：
nmap -sS -p1-65535 xxx.com # -sS是半开扫描，隐蔽性好；-p1-65535扫描所有端口重点分析非 80/443 端口的 IP：
方法 5：「社工 + 钓鱼」（非技术手段，合规第一！）
原理是，通过伪装身份，从企业内部人员那里套出真实IP，运维人员可能掌握着源站信息，开发人员也可能掌握着源站信息 。
合规提醒：
操作必须限定在客户授权的范围之内！护网的性质是防守，并非黑客攻击，进行非法社工行为是要承担法律责任的！
常用套路：
方法 6：采用「漏洞间接获取」的方式，这适合在已有一定权限的情况下进行，属于进阶操作。
如果你已经获取网站的普通用户权限，例如能够上传文件，能够执行简单命令，那么就可以运用这一方法。
具体操作：
写入PHP探针来获取IP，需要上传一个简单的PHP文件，该文件的内容只有一行：
phpinfo(); ?>访问这个文件，在phpinfo页面中搜索_SERVER['SERVER_ADDR']，若显示的是内网IP（例如192.168.xxx.xxx），再结合端口扫描，便可定位到真实服务器。
用浏览器的开发者工具（F12）查看网络请求的响应头，以此来查看响应头信息，有些服务器会留下X-Real-IP、X-Forwarded-For这样的字段，虽然CDN可能会伪造这些字段，但偶尔能拿到真实IP，比如遇到配置错误的CDN节点，它会直接暴露源站IP 。
四、3 招快速判断网站是否用了 CDN
ping 域名看 IP 是否多变
ping xxx.com查 IP 归属地（最直接的方法）
将ping出的IP，输入到IPIP.NET或者IP地址查询工具中。若显示为“阿里云CDN”、“腾讯云CDN”、“Cloudflare CDN”，那么此IP就是节点IP，而非真实服务器的IP。
看 DNS 解析结果
nslookup xxx.com如果返回的 DNS 服务器属于 CDN 服务商，例如 alidns.com（阿里云 DNS）、cloudflare.com，那么很有可能开启了 CDN，原因是域名解析已被 CDN 服务商接管 。
五、护网实战：找到真实 IP 后，接下来该干啥？
确认 IP 真实性（别找错靶子）
使用 Fofa 搜索，搜索条件为 ip="xxx.xxx.xxx.xxx"，查看这个 IP 与该企业的域名关联情况。若有关联，比如同时关联了官网和子域名，那么基本能够确定此为源站 IP；要是仅关联了一个陌生域名，有可能是误判，这种情况下需要重新进行排查。
扫描真实 IP 端口（开启攻击前奏）
用 nmap 进行深度扫描：
nmap -sV -A xxx.xxx.xxx.xxx # -sV查服务版本，-A开启全面扫描，包括漏洞检测重点关注开放的端口和服务，若发现 22 端口开放，可尝试 SSH 弱口令，若发现 3306 端口开放，可试试 MySQL 未授权访问，这些都是拿下服务器的突破口。
对比 CDN 节点与源站防护（攻防转换思维）
很多企业仅仅在CDN节点添加了WAF（Web应用防火墙），认为只要中转站防护良好便足够，却反倒忽视了源站的防护。当我们找到真实IP后，极有可能发觉源站防护存在不足，像是有老旧漏洞、弱口令等情况，而这些正是我们渗透的重点方向。
六、新手必看：绕过 CDN 的 4 个注意事项（别踩坑！）
合规第一！只测授权范围内的 IP
护网属于合法的安全检测，所有操作都必须具备客户提供的《检测授权书》，该授权书要明确允许绕过 CDN 获取真实 IP。曾经有实习生未走流程，通过社工手段获取了某银行的真实 IP，结果被对方 WAF 当作攻击记录，此事差点闹到公安局，要记住：合规是护网的底线！
CDN 节点也可能有漏洞（别放过任何细节）
不要只一门心思去找源站，有些CDN节点存在配置错误，比如缓存了敏感文件（/robots.txt、/config.php），或者开放了不应该开放的端口，从这些节点也能够拿到重要信息，从而辅助咱们渗透源站。
多种方法结合使用（别单靠一招）
单一方法或许会失效，例如子域名开启了CDN，在这种情况下，就得将“子域名挖掘 + 历史DNS + 端口扫描”一同运用，就如同破案需要找寻多个证据一样，绕过CDN也需要打出组合拳，以此提高成功率。
记住常见 CDN 节点 IP 段（快速排除干扰）
七、总结：绕过 CDN 的核心思路（新手必背）
CDN本质上是一种加速工具，然而对于护网而言，它如同一道设置了密码的门。咱们绕过它的核心思路有两点：
寻找漏洞时，子域名是CDN这扇门上的“门缝”，历史DNS记录也是CDN这扇门上的“门缝”，未被代理的端口同样是CDN这扇门上的“门缝”，从这些地方着手，更易于找到突破口。
追根溯源：数据最终都要回到源站，这就如同快递中转站无论怎样转运，包裹的源头始终是发货地址。我们要顺着邮件、漏洞这些“运输通道”，去找到隐藏在背后的真实源站IP。
刚进入这一行的时候，可能会觉得这些方法数量不少，不过不用担心，要多在靶场开展练习，比如寻找带有 CDN 的靶机进行实战，如此一来，渐渐地就能熟练运用这些方法。要牢记这一点：每发现一个真实的 IP，便意味着为护网工作开启了一扇窗户，后续的渗透测试也会更加顺畅。
最后提醒大家，护网的核心在于防守，咱们找到真实IP后，更重要的是帮助客户加固源站防护，例如给源站添加WAF，限制IP访问，及时打补丁。只有做到攻防结合，才能成为一名合格的护网工程师！
phper