想知道一台服务器的真实IP，核心思路是绕开它故意暴露在前台的缓存层和代理层，从历史记录、子域名、证书、邮件交互等侧面信息里挖出源站地址。如果你面对的是一台直接暴露在公网、没有套任何防护的服务器，那一个Ping就能拿到IP，难度为零，真正考验技术的是那种躲在CDN、高防或反向代理后面的机器，这也正是大多数人搜索这个问题的真实场景。
网站有CDN怎么查真实IP
这是搜索“网站有CDN怎么查真实IP”的人最关心的情况，目标网站用了CDN加速，你解析域名只能得到Cloudflare或简米云的节点IP，连接也是打到节点上，真实源站被藏得严严实实，对付这种场景，思路不是去“突破”CDN，而是找CDN没覆盖到的角落。
通过DNS历史记录找源站IP
很多网站在接入CDN之前,域名直接解析到服务器IP，这个解析记录会被第三方平台永久留存。SecurityTrails、ViewDNS.info、微步在线的域名情报模块都提供这类查询服务，你只需输入域名，就能看到它过去几年的解析历史，假如看到某个IP在近期解析过这个域名，同时这个IP不归属于Cloudflare等CDN厂商的IP段，那它极大概率就是源站IP。
操作路径很简单：打开SecurityTrails官网，输入目标域名，切到“History”标签页，按时间线筛选A记录，看到熟悉但非CDN的IP段后，用浏览器直接访问该IP，如果返回的是目标网站的内容，就确认了，需要注意一点，有些站长在切换CDN前会把老IP顺手卖了或停掉，这时你找到的可能是历史残留，需要结合后续验证手段交叉确认。
通过子域名爆破定位漏网之鱼
这是实战中最有效的路径之一,也是搜索“如何绕过CDN查源站IP”时大家最常用的方法，站长通常只给主域名和几个核心业务域名接了CDN，但像mail.xxx.com、dev.xxx.com、test.xxx.com、old.xxx.com这类次级子域名，要么被遗忘，要么因为备案或调试需要直接指向源站IP。
具体操作分三步：先用子域名收集工具（如OneForAll、Amass或subfinder）基于字典和搜索引擎批量枚举目标域名下的子域名，得到一份子域名列表，然后对这些子域名逐个做DNS解析，把解析出来的IP收集起来，最后筛选出那些不归属于CDN厂商IP段的IP，直接访问验证。
举个例子,你扫出test.target.com解析到IP 21.58.X，而主域名target.com解析到Cloudflare的IP段，那么21.58.X极大概率就是源站，用浏览器访问这个IP时，如果发现页面自动跳转或返回400、403等异常状态，可以试着修改本地Hosts文件强行绑定域名到这个IP上访问，看到正常页面就彻底实锤了。
通过SSL证书查服务器真实IP
这条路径适合那些使用HTTPS协议并启用证书加密的网站,原理是：只要服务器上部署了SSL证书，它在建立TLS握手时就会返回完整的证书信息，而证书里往往带有域名、组织名称、甚至内部服务器主机名等信息，用Censys或Shodan搜索证书指纹和域名关联，经常能捞出隐藏的IP。
在Censys的搜索框里输入target.com并限定证书字段，系统会返回所有使用该证书的IP地址列表，同一个证书如果被同时部署在CDN节点和源站服务器上，而源站IP又因为历史原因没有加密，那么这份列表会同时包含两者。直接访问列表中那些非CDN段、地理位置和目标站点相近的IP，比对页面内容或响应头，很容易就能确认源站。
通过邮件头和SPF记录追根溯源
这个技巧常被人忽略,但效果意外得好，原理是：很多网站会用自己的服务器发系统邮件，比如注册确认信、密码找回邮件，而这些邮件的源码里通常带着原始服务器的IP。
操作方式也很简单：注册目标网站账号，发一封密码找回邮件或验证邮件到你自己的邮箱，然后在邮箱里选择“显示原始邮件”或“查看邮件头”，邮件头的Received字段会记录邮件从发信服务器到你邮箱的完整路径，其中最底部的Received from后面的IP就是发信服务器的真实出口IP，一般这个IP和网站源站IP在同一个网段，有的甚至就是源站本身。
检查域名的SPF记录和DMARC记录也能起到辅助作用，SPF记录用nslookup -type=TXT target.com命令查询，如果看到类似ip4:X.X.X.X的授权IP段且数值范围很小，这个IP段也值得留意，不过要注意，邮件服务器可能是独立部署的，跟你找的Web服务器不共用IP，需要具体问题具体分析。
通过文件泄露和报错信息捞底
这套思路适用于那些安全意识薄弱的站点,比如网站的robots.txt文件里经常写着后台路径或管理入口，而这些入口往往不受CDN保护，直接指向源站，还有网站的phpinfo.php、info.php这类探针文件如果没删干净，页面底部的SERVER_ADDR变量会直接打印服务器IP。
再比如触发一个不存在的页面制造404报错,有些框架的默认错误页会显示服务器内部IP，这些路径看起来更像“捡漏”，但在真实排查中命中率不算低，你可以用curl -I http://target.com/看返回头里的X-Server-IP或X-Real-IP字段，部分配置失误的Nginx反代会把真实IP直接透传出来。
没套CDN的服务器怎么查IP
这类情况反而让很多人绕了弯路,如果你误以为所有网站都有CDN，对着一个裸奔的网站用各种旁门左道去查，纯粹浪费时间，先做基础排查，再决定要不要上重型手段。
用Ping和tracert直接解析
这是最基础也最直接的一步,在本地命令行输入ping target.com，系统会直接返回解析后的IP地址和响应时间，看到IP后，去ipip.net或ip138.com查一下归属机构，如果回显的IP段属于电信、联通或某不知名机房，而不是Cloudflare、Akamai、简米云CDN等厂商的专属段，那么这个IP就是真实源站。
如果担心Ping结果被ICMP协议屏蔽导致超时,用nslookup target.com或dig +short target.com查A记录也能达到相同效果，接着用tracert target.com逐跳跟踪路由，如果第13跳之后还没跳到CDN节点，基本可以判定没有CDN。
用Shodan或Censys按指纹搜IP
有些服务器虽然没套CDN,但对外开放了数据库端口、SSH端口，或者运行着旧版本的Web中间件，某些情况下，站长把这个IP用作别的用途，但你只要知道了指纹，就可以倒着搜IP，在Shodan搜索栏里输入目标网站首页的特殊标题、favicon哈希值、Server响应头中的准确版本号，Shodan会把全网指纹相似的主机列出来。
举个例子,你在请求头里看到Server: nginx/1.18.0，首页有一个独特的<title>我的站点备份</title>这类自定义标签，把这些组合起来搜，结果里大概率会带着目标IP，如果这个IP和主域名的解析IP不一致，说明又找到一条漏网通道。
用端口扫描和banner识别定位
如果某个IP范围你怀疑是目标服务器的所在机房,但不确定具体是哪个IP，可以用Nmap等工具扫一下IP段内常见端口，看看哪个IP开放了80、443端口，且返回的页面标题或证书信息和目标网站匹配，这种方式适合在确认域名和机房归属后缩小范围，不太适合盲扫公网，因为全网IP资源极其庞大，效率很低。
查真实IP前还要考虑什么
不是所有场景都适合按上面的方法逐个尝试,如果你刚接触这个领域，分不清CDN和“高防IP”“负载均衡”之间的区别，很容易把云厂商的LB节点误认为源站，最后得出错误结论，如果你查一台处于内网NAT后面的服务器，外部能看到的IP本身就是网关地址，这时候所谓的“真实IP”其实是个伪命题。
行业共识认为,判断一台服务器IP是否“真实”，关键看它在网络拓扑中是否承担源站职责，也就是直接响应你的HTTP请求、执行后端逻辑、存储数据的那台机器，而不是转发流量或做缓存的中间设备。
| 查IP方法 | 适用场景 | 成本 | 速度 | 准确性 |
|---|---|---|---|---|
| DNS历史记录查A记录 | 曾接入CDN的老站 | 低 | 快 | 中高 |
| 子域名爆破+解析 | 多子域名资产暴露 | 低 | 中 | 高 |
| SSL证书反查 | 全站HTTPS加密 | 低 | 快 | 中 |
| 邮件头/SFP记录 | 有邮件外发业务 | 低 | 中 | 中 |
| 404报错/文件泄露 | 安全防护薄弱站 | 低 | 快 | 高 |
如果目标是拿下真实的源站IP做安全测试,优先按“子域名爆破→SSL证书反查→DNS历史记录→邮件头”这条顺序走，综合多个信息源交叉验证，单独依赖某一个方法很容易踩坑，比如DNS历史记录里翻出来的IP可能是旧机房不做了，没法访问，而验证手段其实也很简单：把你怀疑的IP放进浏览器直接访问，看到熟悉的前端页面就完事，被拦了就配合修改Hosts访问，仍然被拦再结合证书信息和返回头字段判断。
服务器真实IP查询常见问题
查到一个公司官网的IP，怎么判断它有没有再套层CDN？
先看IP的归属机构,去IP信息库查询有一个反查功能，输入ASN号码或网段能看到IP属于哪个运营商，如果是Cloudflare、AWS CloudFront、简米云、酷番云的专属段号，那基本还是在CDN后面，再看返回的响应头，CDN厂商通常会附加CF-Ray、X-Cache、Via这类专属字段，最后就是直接改Hosts访问怀疑的IP，访问正常且未跳转说明你找到的确实是源站。
CDN的源站IP会不会随时变？
少数情况下会,部分CDN服务商支持“源站IP白名单”功能，站长会在CDN后台把自己服务器的IP加进去，因此你找到的源站IP一旦被CDN屏蔽，访问会直接拒绝，但只要源站IP没有更换，你用SSL证书反查或者子域名爆破的方式永远能找到它，更换源站IP是件大工程，涉及到域名解析、防火墙变更、CDN源站配置同步，落地成本高，所以你查到的IP短期内有效。
属于哪个机房和地区重要吗？
重要,对同样的网络条件来说，源站的地理位置直接决定访问延迟和带宽质量，比如你在国内，访问一个源站IP位于洛杉矶机房的站点，响应速度可能要多出100多毫秒的延迟，不同机房的IP段和ASN号在各类威胁情报平台上也有不同标记，比如某些机房是出名的“托管垃圾站”，这类信息能帮你判断站长在网络安全上没有投入太多精力，从而选择更简单的排查策略。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%80%8e%e4%b9%88%e7%9f%a5%e9%81%93%e6%9c%8d%e5%8a%a1%e5%99%a8%e7%9c%9f%e5%ae%9eip%ef%bc%8c%e6%9c%8d%e5%8a%a1%e5%99%a8%e7%9c%9f%e5%ae%9eip%e6%80%8e%e4%b9%88%e6%9f%a5%ef%bc%9f/
