Tide安全團隊 - CDN攻擊指南－鑽石舞台

0x01 前言

在翻閱筆記的時候發現了幾篇CDN相關許久之前收藏的落灰文章，正好抽着有時間把相關的文章又拿出來仔細研究了一遍，通過學習總結寫下這篇文章作為學習過程的總結知識文章記錄學習的過程，也正好寫下此篇分享與大家一同學習。

0x02 CDN簡介

CDN的全稱（Content Delivery Network）即內容分發網絡。CDN依靠部署在各地的邊緣服務器，通過中心平台的負載均衡、內容分發、調度等功能模塊，使用戶就近獲取內容，降低網絡延遲，提高訪問速度。簡單來講，CDN是用來進行加速的，它可以讓用戶更快獲得所需的數據。

比如我們在北京訪問阿里，阿里的服務器在深圳，這樣我們想要獲取阿里服務器上的數據就要跨越很遠的距離，由於傳輸速度和路由轉發等因素，就會導致訪問速度非常緩慢。但如果我們在北京建立一個CDN服務器，上面緩存了一些服務器數據，那麼北京用戶只需要訪問這個CND的服務器就能獲取相關的內容，這樣速度就提升了很多。

總結CDN使用原因可以加速網絡訪問，提供網站的訪問速度。隱藏源站IP，減輕源站壓力，提高安全性。降低服務器流量，使用cdn的流量價格遠低於源站服務器的流量價格，節約流量費用。

0x03 國內外常見的CDN服務商

阿里雲CDN

騰訊雲CDN

七牛雲CDN

百度雲CND

又拍雲CDN

360CDN

Ucloud

ChinaCache

網宿科技

帝聯科技

CloudFlare

StackPath

Fastly

CDNetworks

Keycdn

CacheFly

Akamai

CloudFront

Edgecast

CDN77

0x04 CDN判斷1.多地ping

使用不同地域的ip地址進行ping測試，看域名解析的ip是否相同，如果不相同則可能使用了CDN。

在線工具多地點ping檢測https://ping.chinaz.com/

ping 百度測試，百度使用了cdn結果如下

2.ping目標主域

通過ping目標的主域來觀察域名解析情況來判斷是否使用了CDN。

通過ping騰訊和京東進行測試可以看到兩家使用了cdn,而ping青島某公司未使用CDN

3.Nslookup

通過nslookup查看不同DNS域名解析情況來判斷是否使用了CDN。如果不同的DNS解析結果如果不一樣可能存在CDN服務。同一DNS服務器解析的地址有多個也可能存在CDN。

如下圖對百度進行測試通過不同dns解析的地址不相同

如下圖對京東進行測試有多個解析地址

4.asp/asp.net網站判斷

對於asp或者asp.net開發的網站探測網站服務器如果不是使用IIS而是使用了Nginx且用了反向代理，基本可以判定該站點使用了cdn。

通過測試www.faa.gov站點發現該asp站點使用了Nginx反向代理，通過多地ping測試確定該站使用了CDN。

5.CDN在線檢測

通過cdn在線檢測平台進行cdn檢測

https://www.cdnplanet.com/tools/cdnfinder/

6.通過https證書

有的cdn頒發的證書帶有cdn名稱，可通過https證書進行cdn識別。

0x05 CDN繞過ip溯源1.通過查詢歷史DNS記錄

站點在做CDN之前可能將域名解析到真實ip，通過查詢DNS歷史記錄可能會找到CDN使用前的真實ip。

https://dnsdb.io/zh-cn/https://x.threatbook.cn/http://toolbar.netcraft.com/site_report?url=http://viewdns.info/http://www.17ce.com/https://community.riskiq.com/http://www.crimeflare.com/cfssl.html

2.子域查詢法

CDN服務的使用成本還是挺高的，所以很多的站點只對流量大的主站做了CDN，這種情況下我們通過子域枚舉就能獲取到子站的真實ip，通常主站可能又跟子站在同一太服務器或者同一C段內，通過進一步C段查找就可以確定主站。

子域枚舉我們可通過子域名枚舉工具子域名挖掘機/subDomainBrute、網絡空間搜索引擎fofa/shodan/鷹圖、在線工具或者Google搜索語法進行查找。

##1.在線查詢http://tool.chinaz.com/subdomain/http://i.links.cn/subdomain/https://site.ip138.comhttps://crt.shhttps://hackertarget.com/find-dns-host-records/https://dnsdumpster.com##2.子域爆破工具Layer子域名挖掘機wydomain：https://github.com/ring04h/wydomainsubDomainsBrute:https://github.com/lijiejie/Sublist3r:https://github.com/aboul3la/Sublist3r

3.通過email讓目標主動暴露真實ip

這種方法適用於大型企業網站自主架設郵件服務器，通過使目標郵件服務器向我們主動發送郵件查看郵件源碼郵件標識頭，如果郵件發送中間未做數據防護處理則會暴露真實郵件服務器ip這時我們可以通過判斷或c段旁站進一步確定主站ip。

如何讓主動讓郵件服務器給我們發送郵件有如下觸發點：

RSS訂閱

郵件註冊激活

郵件密碼找回

產品更新郵件推送

業務執行郵件通知

4.使用國外主機解析域名

很多CDN廠商因為某些原因僅對國內線路做了解析，這種情況下使用國外主機直接訪問就可能獲取到真實IP。

5.通過站點存在的漏洞

通過站點存在的一些漏洞能夠進一步利用服務器或者根據敏感信息泄露中日誌服務器文件、phpinfo、網站備份文件、.git、web.xml等等信息尋找站點ip。

0x06 總結

通過對CDN攻擊相關的學習做了以上總結，還有很多不足之處有待深入，總結的相關方法不夠全面詳細。比如上章中對溯源ip的方法中，很多方法需要我們自己去不斷嘗試，有些模糊的概念沒辦法進行詳解的過程展示。安全技術更重要的是細心，在對目標進行判斷和嘗試的測試時越是細心越能夠發現關鍵點。

關

於

我

們

Tide安全團隊正式成立於2019年1月，是新潮信息旗下以互聯網攻防技術研究為目標的安全團隊，團隊致力於分享高質量原創文章、開源安全工具、交流安全技術，研究方向覆蓋網絡攻防、系統安全、Web安全、移動終端、安全開發、物聯網/工控安全/AI安全等多個領域。

團隊作為「省級等保關鍵技術實驗室」先後與哈工大、齊魯銀行、聊城大學、交通學院等多個高校名企建立聯合技術實驗室。團隊公眾號自創建以來，共發布原創文章400餘篇，自研平台達到31個，目有18個平台已開源。此外積極參加各類線上、線下CTF比賽並取得了優異的成績。如有對安全行業感興趣的小夥伴可以踴躍加入或關注我們。