服务器隐藏了IP地址，没有一种方法能保证100%查出来，但通过证书透明度日志、历史DNS记录、子域名枚举和邮件头溯源组合出击，大多数情况下能把真实IP“逼”出来。这里的核心逻辑是：隐藏IP的网站通常只是做了CDN转发，源站服务器总要在某个环节暴露自己和域名之间的关联，顺着这些关联的蛛丝马迹去找,远比盲目扫端口靠谱得多。
为什么服务器IP能藏得住：先理解隐藏机制
要找到隐藏的IP，先得弄明白它是怎么被藏起来的，绝大多数情况下，站长做的是接入CDN（内容分发网络），让用户访问时只看到CDN节点的IP，源站IP被屏蔽在分发网络后面，这个逻辑本身没有漏洞,真正的破绽出现在配置和习惯上。
第一种情况是存量泄露。 很多服务器在启用CDN之前，源站IP已经在DNS服务器上留下了历史解析记录，公共DNS的解析缓存、安全厂商的威胁情报库、域名历史DNS查询平台，都能查到很久以前这条域名直接指向源站IP的记录，行业共识认为，只要源站IP曾经脱离CDN保护暴露过,它就永远不可能真正消失。
第二种情况是关联域名暴露。 一台服务器上往往不止跑一个站点，主站用了CDN，但同服务器上可能还有其他网站直接解析到了源站IP，通过查询SSL证书的证书透明度日志（CT日志），把同名主体注册过的所有域名都捞出来，再用DNS解析筛一遍，经常能找到那个没被保护的“漏网之鱼”。
第三种情况是主动出站露出。 服务器对外发起的请求比如SMTP发信、API回调、RSS拉取、软件更新校验都携带着源站IP，邮件头里的Received字段、网站发来的注册验证邮件原文,都可能直接暴露真实IP。
通过域名信息查询锁定源站线索
最常用的突破口是域名本身的注册信息和DNS解析记录，很多站长以为查IP就是拿域名丢到各种“IP地址查询工具”里跑一遍，这种做法对隐藏IP站点的作用很有限,真正有效的是这两条具体路径。
域名信息查询怎么找到雪藏的源站IP
先去查询域名的全部DNS记录，不只查A记录，还要把MX、TXT、NS、SPF记录全部拉出来，SPF记录里经常带着IPv4地址段，这是站长为了邮件服务器能正常发信而单独加上的，CDN不会代理邮件的SPF声明，举个例子，假设某个域名解析到了Cloudflare节点上，SPF却写的是v=spf1 ip4:203.0.113.5 include:spf.example.com ~all，那这个203.0.113.5大概率就是源站IP。
然后用站点的SSL证书查证书透明度日志，打开crt.sh这类公开平台，输入目标域名，能看到这个域名申请过的所有SSL证书，以及证书里包含的其他域名，同证书下的兄弟域名，很多和企业官网共用服务器，逐一解析这些兄弟域名，如果某个域名没有套CDN，解析到的A记录就是源站IP池，这个方法的命中率在多数情况下高于其他途径,尤其适合企业网站。
从历史解析记录里挖老底
DNS历史记录查询服务会在互联网上持续被动收集DNS应答数据，当一个站点的解析记录有变化，历史库会保留每个时间点的快照，输入域名看时间轴，找到CDN启用之前那条A记录，直接拿到源站IP，如果域名用了CDN十年以上，这条路径就失效了,需要往下看其他方法。
从子域名和服务器行为特征里找突破口
主站藏得再严实，子域名往往防不住，不少站点的后台、测试环境、API接口放在源站服务器上,只做了弱保护甚至没做保护。
子域名枚举
这一步要细化到目录级：把常见的子域名前缀test、dev、staging、api、admin、old、mail、ftp对着目标主域名做批量解析，也可以用在线子域名查询工具拉全量子域名列表，再从中挑出和主站不同IP的条目，实操中经常遇到的情况是：主站解析到Cloudflare，dev.xxx.com却直接解析到了华为云的一个IP，访问dev.xxx.com，如果是同一套系统或数据库的测试环境,基本就能确认这个IP就是源站。
SSL证书指纹测绘
这个方法比较进阶，但效果在部分场景中非常明显，站点的SSL证书由源站服务器上的Web服务器签发和持有，即使域名解析到了CDN节点，TCP连接443端口时服务器返回的证书内容和序列号，CDN无法篡改，用Censys这类网络空间测绘平台搜索该证书的序列号指纹，平台会返回全球所有使用同一张证书的IP，其中那些不在CDN地址段里的IP，就是源站，这一招对香港、日本、新加坡的独立服务器站点尤其好用。
站长工具的站内行为探测
如果手头有权限看网站的前端代码，打开浏览器开发者工具，切换到网络面板，找到网站发出的表单提交请求或登录接口，有些站长把接口地址写成了源站IP的绝对路径，比如https://203.0.113.44/login.php，这相当于把IP地址拱手送人，被动扫描工具没法发现的这类问题,人工看一遍代码往往比什么都快。
快速查找网站源站IP的场景化判断
不同场景下查询思路的优先级差异很大,这里拆开来说。
网站套了CDN但没上HTTPS
这种站点查询门槛极低，HTTP的DNS解析直接走CDN节点，但网页里的静态资源路径往往相对路径，一旦发现某个外部请求指向非CDN网段，直接验证目标IP的80端口响应是否和当前站点一致，常见操作是在云服务器上执行curl -I http://目标IP/，如果返回的Server头、页面标题、重定向规则和主站一致,就说明找到了入口。
网站收发邮件
邮箱服务本身就是源站IP的“泄密口”，给网站上的客服邮箱发一封空邮件，等自动回复或者退信，然后看信件的完整源码，检索Received: from字段，第一个Received字段往往记录的就是发送方源站IP，用outlook.com或Gmail查看邮件原文,定位到最有信息量的一行：
Received: from server1.example.com (unknown [198.51.100.23])
by mx.example.net (Postfix) with ESMTP id 12345中括号里的IP就是邮件服务器的源站地址,而这个服务器通常和网站Web服务器在同一个机房或同一台机器上。
CDN网站怎么查真实IP的实操技巧
如果以上所有方法都试了还是没有结果，剩下的路偏向靠运气和耐心，Shodan搜索目标网站的favicon图标哈希（http.favicon.hash），找出和主站使用同一图标的IP资产；搜索页面独有的HTML标题、Server头、X-Powered-By特征，把整个互联网上具备相同特征的IP全部枚举出来，再排除CDN地址段，这种主动测绘的覆盖面极广，但速度慢，通常只在高危场景下使用，业内专家指出，针对配置严谨的CDN后期隐藏，现实中往往溯源无果,更优的做法是转向服务商侧的数据留存记录。
隐藏IP地址怎么查出来：常见问题集
问：对方所有子域名都套了CDN，还能查到源站IP吗？
有两条路径可以尝试，一是看历史DNS记录，只要服务器曾经在CDN启用前解析过，就一定能查到踪迹；二是看网站的对外业务，比如开放的API接口、反馈表单、RSS订阅源是否和源站直接通信，如果这两个方向都打不通，并且对方启用了“仅允许CDN节点访问源站”的防火墙策略（SAAS式源IP保护），绕过CDN是做不到的，此时需要结合网络设备日志做流量分析，例如防火墙上将应用层请求和TCP会话建立源IP做关联比对,没有日志支持的纯外部探测很难破除这一层约束。
问：用扫描工具直接扫服务器的开放端口有意义吗？
有一定价值，但优先级靠后，IP地址没有确定之前，直接拿扫描器去扫大段公网地址，属于广撒网式碰运气，对比效率来看，先通过证书日志和DNS历史锁定一小批IP，用nmap -sV -p1-65535 目标IP做定点扫描，命中概率才高，扫描的目的不是搜出IP,而是验证某个候选IP上是否运行着目标站点的Web服务。
问：服务器被打了查不到IP怎么办？
如果DDoS流量已经常态化打到CDN节点上，这反倒说明IP藏的是到位的，这种情况下唯一的突破口是看攻击流量特征：如果流量是直接打在某个未经过CDN的IP上，去找被打的IP段，拨测服务商、云厂商控制台里的攻击告警页会显示被攻击IP的具体数值，顺着这个IP反查域名和证书，往往能定位到这台服务器上的其他站点，再通过这些站点判断归属，IP地址从来不是凭空产生的，服务器被打了查不到IP，通常是因为监控告警面板没有配置全端口或全协议日志，建议调整日志记录策略,记录五元组信息和访问请求特征。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/793318.html
