一个客户半夜打电话给我，何绕获说他的真实网站被打了，流量峰值冲到800Gbps，何绕获CDN厂商的真实防护面板上显示攻击源来自全球两千多个IP。他问我：“能不能绕过CDN直接打源站？何绕获”我反问他：“你确定要听真话？”
绕过CDN找真实IP，说白了就是真实跟CDN的缓存节点玩捉迷藏。大多数站长把源站IP藏得不够深——你以为套了层Cloudflare就高枕无忧了？何绕获实际上，DNS历史记录里可能还躺着三年前的真实解析记录。SecurityTrails这类平台能查到A记录变更历史，何绕获你从阿里云迁到Cloudflare那天，真实旧IP可能还挂在某个子域名上。何绕获
最土的真实办法也最有效：翻证书透明度日志。crt.sh上输入你的何绕获主域名，所有签过名的真实SSL证书都会列出来。很多人给源站服务器也配了证书，何绕获而证书里的CN或SAN字段往往直接暴露了源站域名——比如mail.你的域名.com或者dev.你的域名.com。顺着这些子域名查解析，运气好五分钟就能挖出源站IP。
还有个思路容易被忽略：邮件头。很多企业站会配个“联系我们”表单，后台自动发邮件到管理员邮箱。你给这个表单提交点垃圾内容，然后看收到退信或自动回复的原始邮件头，里面通常带着源站服务器的IP。因为发信服务器一般不会走CDN——CDN只代理HTTP/HTTPS流量，SMTP协议它不管。
再说个偏门的。有些CDN厂商的节点回源时会带特定的HTTP头，比如Via或者X-Cache。你拿个在线代理工具批量请求目标网站，收集所有响应头，如果发现某个节点返回的Server字段跟CDN默认的不一样——比如CDN用的是nginx，但某个响应头里出现了Apache——那这个节点背后很可能就是源站直连。
还有更直接的：搞个全球ping工具，选十几个不同国家的节点去ping目标域名。CDN的Anycast会把请求路由到最近的边缘节点，但如果你发现某个地区的响应时间异常快（比如从德国ping一个美国网站，延迟只有20ms），那这个IP大概率不是CDN节点，而是源站本身——因为CDN不可能在每个国家都有物理服务器。
最后提个实战技巧。去Fofa或ZoomEye这类网络空间测绘引擎搜一下目标网站的favicon图标哈希值。很多站长会把源站和CDN站点用同一个favicon。你算一下主站favicon的MD5，然后在测绘引擎里搜这个哈希，所有用同图标的IP都会列出来——源站通常混在里面。
但说句实话，这些手段对认真做防护的站长基本无效。人家要是把源站IP锁在防火墙白名单里，只允许CDN回源段访问，你就算拿到IP也撕不开缺口。真正的突破口永远是人的疏忽——比如某个员工把VPN配置信息发到了GitHub上，或者运维把SSH端口暴露在公网还用了弱口令。
我见过最离谱的案例：某电商平台把源站IP藏在东京的一个机房里，CDN用着AWS。结果攻击者扫到了他们挂在阿里云上的一个测试环境，那个环境里有个phpinfo页面，页面底部写着“生产环境服务器IP：203.0.113.7”。就这么一行字，整个防护体系全白搭。
所以别迷信CDN。它就是个加速器加过滤器，挡不住所有聪明人。真正该做的是把源站藏好——能不开的端口全关掉，能用VPN就别暴露公网，定期查一下证书透明度日志和DNS历史记录。你永远不知道哪个角落里的旧配置会把你卖了。