| 渠道 | 历史 DNS 记录、证书日志、邮件头、直连响应差异 |
|---|---|
| 验证 | 对比 CDN 边缘与直连的响应特征 |
| 加固 | 源站白名单仅放行 CDN 回源段 |
核查步骤
核查步骤
1. 汇总历史解析记录与已知 IP 清单
2. 对候选 IP 做 TLS 证书与响应比对（限速）
3. 确认直连是否可达同一站点
4. 输出：暴露 IP 清单与回源白名单建议修复视角：源站防火墙仅允许 CDN 回源网段，并在变更流程中防止再次泄露。
源站暴露检查
CDN 接入后源站 IP 若可直连，可绕过边缘防护；核查历史上送 IP 与常见源站误暴露渠道。
易错点
- 对候选 IP 做全端口扫描，超出授权
- 忽略 IPv6 与备用域名的直连路径
数据来源与参考
- CDN 厂商回源安全指引（通用做法）
- OWASP WSTG WSTG-CONF 系列