专栏首页Bypass如何防止CDN防护被绕过

如何防止CDN防护被绕过

当发现目标站点存在CDN防护的时候,我们会尝试通过查找站点的真实IP,从而绕过CDN防护。

我们来看一个比较常见的基于公有云的高可用架构,即:

域名-->CDN,CDN-->WAF,WAF-->SLB,SLB-->ECS。

我们重点来关注一下CDN-->WAF-->SLB-->ECS这几层服务之间的关系吧。

假设,攻击者知道SLB的真实IP地址,就可以直接访问SLB的ip地址,从而轻易绕过CDN+WAF的安全防护。

如何防止CDN被绕过呢?

这里分享一个CDN防护技巧,通过中间件配置只允许域名访问,禁止ip访问。

这样处理的话,所有直接访问站点真实IP的请求将会被拒绝,任何用户只能通过域名访问站点,通过预先设定的网络链路,从DNS→CDN→waf防护→源站,所有的域名访问请求都必须经过WAF检测。

Nginx参考配置:

#添加一个server,在原server里绑定域名server  {        listen 80 default;        server_name _;        return 403;    }server {        listen       80;        server_name  www.demo.com;        .........

Apache参考配置:

  • =#在httpd.conf最后面加上 <VirtualHost 此处填写IP> ServerName 此处填写IP <Location /> Order Allow,Deny Deny from all </Location></VirtualHost> <VirtualHost 此处填写IP> DocumentRoot /var/www/html ServerName 此处填写域名</VirtualHost>

我们再来思考一个问题?

如果攻击者有了真实IP地址,修改本地hosts文件,强行将域名与IP解析,从而本地访问请求是无需经过DNS解析,还是可以绕过CDN防护。

这个策略,本质上是一个减缓措施,增加了寻找真实IP的难度。

本文分享自微信公众号 - Bypass(Bypass--),作者:Bypass

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-03-09

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 假设知道服务器IP,如何查询它绑定的域名?

    在一些场景中,我们往往只得到了一个IP地址,那么如何通过IP地址快速地找到它绑定的域名呢?

    Bypass
  • 绕过CDN寻找真实IP的8种方法

    正常情况下,通过cmd命令可以快速找到域名对应IP,最常见的命令如ping、nslookup。但很多站点出于用户体验和安全的角度,使用CDN加速,将域名解析到C...

    Bypass
  • [ELK入门到实践笔记] 一、通过rsyslog搭建集中日志服务器

    ELK 是elastic公司提供的一套完整的日志收集以及展示的解决方案,这是我在ELK学习和实践过程写下的笔记,整理成了一个ELK入门到实践的系列文章,分享出来...

    Bypass
  • 绕过CDN查找网站真实IP的方法

    用户1456630
  • 绕过CDN查找网站真实IP的方法

    Youngxj
  • 绕过CDN查找网站真实IP的方法

    大部分CDN提供商只针对国内市场,而对国外市场几乎是不做CDN,所以有很大的几率会直接解析到真实IP。其实这个方法根本不用上国外vpn,因为你上国外vpn的pi...

    V站CEO-西顾
  • 查询使用CDN的网站的真实IP

    1:先查一下分站的IP,许多状况是主站运用了 CDN 而分站没有运用。 相似这么www.xxx.com 运用了CDN ,那么 mail.code521.com ...

    周俊辉
  • React Native Upgrade

    文中的代码和图片我都反复检查过了,基本上没有泄露公司的重要信息的数据,如若发现有泄露的话请立即告知我 ;-)

    宅男潇涧
  • 为什么网站需要用CDN来加速?

    CDN的工作原理就是将您源站的资源缓存到位于全国各地的CDN节点上,用户请求资源时,就近返回节点上缓存的资源,而不需要每个用户的请求都回您的源站获取,避免网络拥...

    云计算爱好者
  • 消息中间件RabbitMQ系列,多个消费者的时候,不使用默认的轮询,要实现能者多劳(八)

    之前我们已经实现了一个发送者将消息发送到队列,有多个消费者从队列里面拿数据,但是这样多个消费者是轮询的方式从队列里面拿数据的,每一个消费者拿到的数据都一样多,现...

    一天不写程序难受

扫码关注云+社区

领取腾讯云代金券