第一次知道 https 会暴露服务器 ip

[ddgweb]

因为网站一直有用 cdn 加速，也没有泄露过 ip，但是在群里发一下域名，别人一下子就给我服务器 ip 找出来，然后随手给我来一发 udpfloor，然后封 1 天黑洞，这就很烦。

然后找了一些资料才知道，用 Nginx 部署网站，开启 ssl 的情况，直接访问 https+ip 会暴露证书，间接的别人就能扫到域名=ip

当然最后我通过各种办法，暂时解决了

[haojie06]

默认放一个自签名的证书就好了，不然像是[censys]( https://censys.io/)这种网站的爬虫全网扫描，一下就暴露了。

[cydian]

如果是这样遍历查找，难道不慢么？

[chihiro2014]

咦，学到了

[ZRS]

有全网证书嗅探爬虫的，一般的做法是自签一个

[stille]

nginx 配置好第一件事就是关闭 ip 空主机头，retune 444 ； 并给 ssl 配个自签证书。

[miyuki]

配个默认主机 conf，一张自签证书就 OK 了，然后再白名单 cdn 的回源段

[lqzhgood]

遍历全网 ip，得到 源站 ip + 证书，然后遍历全网域名得到 域名 + 证书，
然后证书匹配得到 源站 ip + 域名

这个意思？ 这难度有点大吧

[Aliencn]

你第一个事情说的是别人通过了你的域名找到了你的源站 IP 。
第二个事情说的是通过 IP 获取到了 HTTPS 的证书域名。

这俩事情没啥关系吧。

[wangxiaoaer]

直接访问 https+ip 会暴露证书，间接的别人就能扫到域名=ip------------------

没看懂，这俩 IP 不是同一个吧？

[shuax]

你们是不是对 cdn 有误解啊

[no1xsyzy]

@wangxiaoaer 简单地举例好了
$ curl https://39.156.69.79 -sv --output /dev/null 2>&1 | grep CN=
* subject: C=CN; ST=Beijing; O=BeiJing Baidu Netcom Science Technology Co., Ltd; OU=service operation department; CN=www.baidu.cn

（ OpenSSL 似乎也能做这事，但不太记得 OpenSL 的语法了）

我知道 IP，可以去探测这个 IP 上的证书。
那么只要我把 IPv4 空间全部探测一遍，我就知道某个没有防护此类信息泄漏的域名在哪个 IP 上

[no1xsyzy]

说实话，最稳的是 cloudflared （ Agro 反向隧道），你甚至不需要开放端口。

[shuax]

我懂了，这个和 cdn 没关系。就是有人把所有 IP 扫了一遍，把证书记下来，下次别人直接去查就出来了。

[ddgweb]

@shuax 如你所述，就是如此。

[ddgweb]

@no1xsyzy 你举例非常准确，此问题在全网暴露情况非常普遍，绝大多数博客、个人中小企业站长，都有忽略这个问题。

[ColoThor]

所以服务器放一个证书，这样 cdn 和 直接访问就不是一个证书，就可以避免这个问题？

[julyclyde]

lz 这个思路是颠倒因果了
确实，开启 SSL 的时候，直接访问过去，服务器会出示证书，证书里带了自己的域名
但是上面这个做法的前提是先要知道 IP

问题是如果已经知道了 IP 何必还 SSL 呢，直接 flood 你不就得了？

[ColoThor]

@julyclyde #17 是这样的，现有情况是拥有全网的 ip 与 证书 对应信息，就像茫茫人海没有目标。之后知道域名，对比全网 ip 的证书，就找到了域名对应的 ip

[julyclyde]

@ColoThor 既然已经拥有全网 ip 和证书对应信息了，直接在列表里搜域名不就得了，何必去 SSL 一下呢？

[qsnow6]

长知识了