宝塔默认站点泄漏源站IP，使用CDN后censys.io出现源站IP泄漏解决方法-三六云

前言

文章导读目录

如果你的服务器在使用 CDN 后，还出现源站 IP 泄漏，不妨查看一下你的源站，当你未设置默认网站时，通过 IP 可直接访问建立的第一个网站，而当你在 IP 前加上 https 访问时，Nginx 会自动返回该网站的 https 证书，从而暴露相关域名信息。

宝塔默认站点泄漏源站IP，使用CDN后censys.io出现源站IP泄漏解决方法

示例

比如，打开百度，F12 看下它的 IP，比如我这里显示的是：180.101.49.12，在浏览器中用 https://180.101.49.12 打开看下会发生个啥。

那么该 IP 就跟你的域名对应上，并且暴露你的真实 IP。

工具

显然让我们从茫茫大海中寻找一根针是不大可能的，但是我们可以利用一个工具
网址：https://censys.io/ipv4

很多人都知道 Censys 能搜索到域名对应的后端 IP。原理也很简单，它会扫描所有 IP 的 80 8000 8080 443 4433 端口。甚至会扫描 https SSL 域名证书。搜集到的信息再公布到网络上。很多黑客都是使用这玩意找到你的源站 IP。

里面关联了很多的 IP，可能其中一个 IP 就是你的源 IP，如果真是这样的话，你套再多的 cdn 也防不住你的 IP 泄露。

很遗憾，这个工具记录的历史不可以被用户删除。

如果你用工具已经查询到你的 IP 泄露了，碰巧你非常在意，那么你就需要更换一个 IP 了。

虽然历史记录不可删除，但是在官网的帮助页面发现，可以设置禁止 censys 访问，并且说已经禁止的结果将自动修剪掉（是否会修剪这里没有做测试，有兴趣的可以测试一下）。

页面地址：https://support.censys.io/hc/en-us/articles/360043177092-Opt-Out-of-Scanning

Censys原理

通过扫描 0.0.0.0/0 即全网，通过 IP 访问获取证书信息与你的源站 IP 对应上记录下来。

解决办法

这里以宝塔为例：
随便创建一个站点，设置为纯静态

选择这个新建的站点设置为默认站点

并且删除掉改网站目录下的所有文件，如图：
注意保留两个文件 .htaccess .user.ini

回到网站设置添加证书
我们给这个默认站点添加一个自签的空白证书！！！

KEY：

PEM:

设置404
还是以宝塔为例子，在默认站点伪静态添加上：

location / {
    return 404;
}

屏蔽 Censys 扫描

1、屏蔽 IP 段

74.120.14.0/24
162.142.125.0/24
167.248.133.0/24
192.35.168.0/23

还是以宝塔为例，安装 Fail2ban 防爆破插件，打开插件 IP 黑名单设置，添加上边的屏蔽 IP 段，保存即可。

2、屏蔽 UA

Mozilla/5.0 (compatible; CensysInspect/1.1; +https://about.censys.io/)

宝塔安装 Nginx 防火墙插件，收费免费都可以，打开全局配置中的 User-Agent 过滤规则

添加一条规则，正则表达式填写 ^(?=.*censys)，说明自己随便填一个，保存即可

OK以上就是防扫屏蔽大法^_^！

免责声明

本站资源大多来自网络，如有侵犯你的权益请留言反馈根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。本站为个人博客非盈利性站点，所有软件信息均来自网络，所有资源仅供学习参考研究目的，并不贩卖软件，不存在任何商业目的及用途，网站会员捐赠是您喜欢本站而产生的赞助支持行为，仅为维持服务器的开支与维护，全凭自愿无任何强求。本站部份代码及教程来源于互联网，仅供网友学习交流，若您喜欢本文可附上原文链接随意转载。

如果遇到付费才可观看的文章，建议升级终身VIP。全站所有资源“任意下免费看”。本站资源少部分采用7z压缩，为防止有人压缩软件不支持7z格式，7z解压，建议下载7-zip，zip、rar解压，建议下载WinRAR。