CDN 绕过与源站泄露是什么
接入 CDN 或 WAF 之后，源站 IP 仍可能通过多种渠道泄露出去：迁移前的历史 DNS 记录、直接签发给源站的证书、外发邮件与 Webhook 中的回显地址、乃至对自有 IP 段扫描时的响应特征比对。源站 IP 一旦暴露，攻击者可以绕过全部防护直连，防护效果取决于网络层是否真的收口。
基本信息
| 排查对象 | 源站 IP 与端口、历史 DNS 记录、证书签发记录 |
|---|---|
| 验证标准 | 直连不可用、经 CDN 可用 |
| 主要手段 | 回源 IP 白名单、回源校验头、更换源站 IP |
| 复测频率 | 接入后立即核查，之后随每次网络变更复核 |
泄露来源排查清单
泄露来源排查清单
1. 历史 DNS：迁移前的 A 记录（被动 DNS 服务可查）
2. 证书日志：直接签发给源站域名的证书
3. 邮件头与第三方回显：外发邮件/Webhook 中暴露的源站地址
4. 扫描比对：对自有 IP 段扫描，比对与主站一致的响应特征
5. 同 IP 其他服务：源站 IP 上还跑着邮件或其他对外服务收敛动作
收敛动作
1. 源站防火墙仅放行 CDN 回源 IP 段/校验头
2. 必要时更换源站 IP 并同步更新回源配置
3. 清理历史 DNS 与不再使用的直接解析
4. 定期复测：从多个外部节点验证源站不可直连
5. 管理端口与业务端口分离，管理面只走运维通道典型使用场景
- 接入 CDN 后的验收：确认源站已收敛而不是只有加速
- 攻防演练与红队报告复核：验证报告中的绕过路径是否已修复
- 历史资产清理：老域名、老 IP 段上仍指向源站的记录
- 多 CDN 场景：为不同厂商分别维护回源白名单与校验方式
- 变更后复核：源站 IP 或网络架构调整后重新验证
绕过路径与应对
| 路径 | 原因 | 应对 |
|---|---|---|
| 历史 DNS | 迁移前记录未清理 | 清查并删除旧解析 |
| 证书透明度 | 证书直接绑定源站 | 源站使用内部证书或统一证书 |
| 直接 IP 访问 | Host 头不限制 IP 直连 | 网络层限制来源，不依赖应用判断 |
| 旁路端口 | 同 IP 上的管理端口开放 | 分端口清单逐项收敛 |
源站保护的验证标准是『直连不可用、经 CDN 可用』：只看 CDN 侧的配置说明看不出泄露，必须从外部实测。
更换源站 IP 属于高影响变更：回源配置、监控白名单、第三方回调地址都可能写死了旧 IP，需在窗口内同步更新并复测。