要查找CDN背后的真实服务器IP，最有效的方法是从历史DNS记录、SSL证书透明度、子域名枚举和全网扫描入手，但具体效果取决于站点配置，需组合使用多种手段。
服务器有cdn，怎么查真实ip？四种核心思路
针对服务器有cdn的情况，直接ping域名只能看到CDN节点的IP，源站IP被隐藏，要绕过这层保护，以下几类方法经过大量实践验证，被多数安全从业者采用。
历史DNS记录深挖
许多网站在启用CDN之前，域名直接解析到源站IP，这些历史A记录会被多家DNS存档服务保留，你可以通过以下步骤查找：
- 使用SecurityTrails（securitytrails.com）查询域名，切换到“历史数据”面板，查看所有过去的A记录，如果发现某个IP不属于该CDN厂商的IP段,极有可能是源站IP。
- 使用ViewDNS（viewdns.info）的“DNS历史记录”功能，输入域名,获取过往解析记录。
- 命令行操作：
dig +noall +answer 域名 A只能获得当前解析，但可以通过指定公共DNS服务器（如8.8.8.8）查询，有时能绕过CDN内部的智能解析，直接拿到源站IP，不过成功率较低,建议优先使用在线存档。
实操要点：优先检查域名刚注册后的一段时间内的记录，那时往往还未接入CDN，如果网站从上线就一直使用CDN,此方法可能失效。
SSL证书透明度日志
CDN在代理HTTPS流量时，会将源站的SSL证书一并展示，而证书中常包含源站IP，利用这一点，很多情况下能直接定位到真实IP。
- 访问crt.sh，输入域名，查看所有证书的“Subject”和“SAN”字段，点击证书详情，查找“IP Address”条目，如果某个IP不在CDN的IP段内,基本可以确定是源站。
- 使用Censys（censys.io）搜索证书指纹或域名，结果中会列出IP地址和开放端口，筛选出非CDN节点的IP,再通过HTTP响应内容验证。
- 进阶技巧：有些CDN允许用户上传自定义证书，这种情况下证书中可能不会暴露IP，但多数共享证书模式的CDN（如Cloudflare免费版）会暴露源站IP,行业共识认为这是最常见的信息泄露渠道。
子域名枚举与探测
网站不会把所有子域名都接入CDN，一些子域名（如mail、api、dev、test）可能直接解析到源站，或者指向不同的CDN配置，从而暴露源站IP。
- 使用Subfinder或Amass进行子域名枚举，命令示例：
subfinder -d example.com -o subs.txt。 - 对收集到的子域名逐一解析：
for sub in $(cat subs.txt); do dig +short $sub; done。 - 将解析出的IP与CDN厂商的IP范围对比（例如Cloudflare的IP范围可公开查询）,不在范围内的IP就有可能是源站。
- 在线工具DNSdumpster也能快速展示子域名及对应IP,适合快速侦查。
需要注意的是，部分子域名可能使用了相同的CDN，导致所有IP都是CDN节点,此时需要结合其他方法。
全网扫描与特定端口探测
如果前三种方法都失效，可以尝试通过全球扫描平台寻找源站，源站IP虽然被CDN隐藏，但出站请求（如服务器主动请求外部资源）或特定端口服务仍可能暴露。
- 使用Shodan搜索域名或SSL证书的SHA-1指纹，Shodan会索引所有开放端口的主机，如果源站未完全封锁端口，就可能被扫描到，命令：
ssl.cert.subject.cn:"example.com"。 - 使用Zoomeye类似的搜索语法，查找开放了80/443端口且响应内容包含域名标题的主机。
- 针对大范围IP段进行扫描：通过CDN节点IP反查同网段的其他IP，或者利用ASN信息找到该服务器所在运营商，再使用
nmap进行大规模扫描，但此方法耗时较长,且可能触发安全告警。
注意：全网扫描可能违反服务提供商条款,仅建议在授权测试中使用。
cdn隐藏真实ip如何查找？进阶技巧
当常规方法效果不佳时，可以尝试从配套服务或配置缺陷入手，这些场景往往能突破CDN的保护。
利用邮件服务器定位源站
多数网站会配置邮件服务器（MX记录），而邮件服务器通常不经过CDN，通过查询MX记录获得邮件服务器IP，然后探测该IP是否也运行了Web服务，如果该服务器同时是Web服务器，或者在同一网段，就可以作为源站的线索。
- 查询MX记录：
dig mx example.com。 - 对得到的邮件服务器IP进行端口扫描，观察是否开放80/443。
- 如果开放，访问该IP的网站，看是否与目标域名内容一致，注意有些网站将邮件服务器与Web服务器分离,但IP段可能相近。
利用网站功能或配置泄露
网站本身可能无意中暴露真实IP，常见渠道包括：
- 源代码注释：查看HTML、JS、CSS中的绝对路径,有时会直接写IP。
- 错误页面：触发403、500等错误,错误页面可能显示服务器IP。
- API接口：部分API直接返回服务器IP，或者通过特定请求头（如X-Forwarded-For）泄露。
- 图片EXIF信息：如果网站上传的图片包含EXIF,其中GPS坐标或设备信息可能指向服务器位置。
利用第三方情报服务
一些付费或免费服务专门收集IP与域名的关联关系。RiskIQ、Pulsedive等，它们通过爬取全网数据构建关联图谱，输入域名，可能直接显示相关IP列表，这种方法尤其适合对大型网站进行调研。
不同场景下的真实ip查询策略
不同CDN服务商和网站架构，查询方法的侧重点不同，下面用表格对比三种常见场景：
| 场景 | 推荐优先方法 | 备选方法 | 成功率参考 |
|---|---|---|---|
| 使用Cloudflare免费版 | 历史DNS记录、SSL证书透明度（crt.sh） | 子域名枚举、MX记录分析 | 较高，因Cloudflare共享证书机制常见IP泄露 |
| 使用简米云CDN | 子域名枚举、全网扫描（Shodan） | 源站端口探测、错误页面泄露 | 中等，部分用户会配置全站CDN，但子域名遗漏较多 |
| 自建CDN或高防服务 | 邮件服务器、全网扫描、第三方情报 | 无漏洞利用困难 | 较低，需结合社工或大规模资产测绘 |
说明：所谓“成功率”基于业内专家的一次技术分享中提到的常见案例,实际情况因站点配置而异。
服务器真实ip查询工具与命令汇总
以下工具和命令经常被用于定位真实IP，建议收藏备用。
- 历史DNS：SecurityTrails（在线）、ViewDNS（在线）、whoisxmlapi（API）
- SSL证书：crt.sh（在线）、Censys（在线+API）、Google透明度报告
- 子域名枚举：Subfinder（命令行）、Amass（命令行）、DNSdumpster（在线）
- 全网扫描：Shodan（在线）、Zoomeye（在线）、nmap（命令行）
- 综合验证：curl -I http://IP（检查返回头）、浏览器访问IP（查看页面内容）
快速验证命令：
# 查找SSL证书中的IP
curl -s "https://crt.sh/?q=example.com&output=json" | jq '.[].name_value'
# 查看MX记录
dig mx example.com +short
# 使用nmap扫描特定IP的80端口
nmap -p 80,443 IP服务器有cdn查真实ip常见问题解答
问：查询真实IP是否合法？
答：用于自己授权的网站或安全测试是合规的，未经授权对他人网站进行扫描和探测，可能触犯计算机信息系统安全相关法规，务必在获得书面授权后操作。
问：为什么有些网站始终查不到真实IP？
答：原因包括：网站从创建起就全程使用CDN，无历史记录；所有子域名均配置了CDN；源站未开放额外服务；或使用了多层转发（如CDN+WAF+源站），这种情况下单纯依靠外部手段几乎无法定位，除非出现配置错误。
问：查到的IP如何确认就是源站？
答：通过访问该IP的80或443端口，观察返回的页面HTML、标题、SSL证书是否与目标域名一致，还可以对比响应头中的Server字段、资源路径等细节，如果页面内容完全一致，且IP不属于任何已知CDN节点，即可确认。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8%e6%9c%89cdn%e6%80%8e%e4%b9%88%e6%9f%a5%e7%9c%9f%e5%ae%9eip%e5%9c%b0%e5%9d%80%ef%bc%9f%ef%bc%8c%e4%b8%ba%e4%bb%80%e4%b9%88%ef%bc%9f/
