源站暴露意味着什么
接入 CDN 后，边缘节点承担防护与清洗，真正的服务器（源站）必须只接受来自 CDN 回源网段的流量。如果源站 IP 可通过历史 DNS 记录、证书透明度日志、邮件头等渠道被找到，就能绕过边缘防护直接访问，WAF 与限流形同虚设。核查任务是找出这些候选 IP 并确认直连是否可达同一站点。
基本信息
| 泄露渠道 | 历史 DNS 记录、证书透明度日志、邮件头、备案信息、子域解析 |
|---|---|
| 验证方式 | 对比 CDN 边缘与候选 IP 的响应特征与证书 |
| 加固方向 | 源站白名单仅放行 CDN 回源网段，回源改用专用域名 |
| 注意项 | IPv6 地址与备用域名可能同样直连源站 |
典型使用场景
- 接入 CDN 或 WAF 后的护栏有效性验证
- 排查绕过防护直接打的攻击来源
- 变更流程评审：新域名上线是否又暴露了源站
- 多云与双活架构中确认各节点暴露情况
- 为客户提供回源白名单与监控建议
核查步骤
核查步骤
# 1. 汇总历史解析记录与已知 IP 清单（离线数据整理）
# 2. 对候选 IP 做证书与响应比对（低频、按授权范围）
curl -s -o /dev/null -w '%{http_code}\n' --resolve app.example.com:443:203.0.113.10 https://app.example.com/ # 用 Host 匹配验证直连是否返回同一站点
# 3. 检查源站是否放行了非 CDN 网段的访问
# 4. 输出：暴露 IP 清单 + 回源白名单建议 + 防护验证方式渠道与验证方法
| 泄露渠道 | 说明 | 验证方法 |
|---|---|---|
| 历史 DNS 记录 | 切换 CDN 前的解析残留 | 与当前解析比对，标记差异 IP |
| 证书透明度日志 | 按域名可查历史证书 | 汇总同一域名下的其他 IP 线索 |
| 邮件头 | 自建邮件系统常带真实出口 IP | 检查 Received 头中的来源地址 |
| 子域解析 | 未接入 CDN 的子域直连源站 | 逐个子域核对解析结果 |
| IPv6 与备用域 | 常被忽略的直连路径 | 确认 AAAA 记录与备用域名解析 |
验证直连时只做低频请求与证书比对，不要对候选 IP 做全端口扫描：那是超出授权范围的探测动作。
长期防护靠流程：源站安全组只放行 CDN 回源网段，新增域名上线前做一次解析核查，并在监控中对源站的非 CDN 来源访问告警。