在网络安全侦察中，识别 CDN（内容分发网络）背后的真实后端服务器位置是一项常见需求，尤其是当目标站点使用 Cloudflare、Akamai 等 CDN 时，直接 IP 探测容易被阻挡或泄露自身位置。一种巧妙的被动探测技术是利用伊朗的内容过滤机制，通过附加特定查询参数如 ?boobs=1 来触发后端过滤器，从而绕过 CDN 缓存直接从源站获取响应，实现地理位置确认。
技术原理
伊朗的互联网基础设施受严格的内容审查管制，许多 ISP 和托管服务部署了关键字过滤系统，针对 NSFW（不适宜内容）相关词汇如 “boobs” 等进行阻挡。当请求携带此类关键词时，即使仅在查询参数中，后端服务器也会返回 HTTP 403 Forbidden 错误。这种错误通常不被 CDN 缓存，因为 4xx 响应多配置为“bypass cache”（绕过缓存），从而强制请求直达源站。
相比之下，非伊朗后端不会触发过滤，返回正常 200 OK 响应，可能命中 CDN 缓存（响应头含 Cache-Control 或 CF-Cache-Status: HIT）。通过对比正常 URL 与带参数 URL 的响应差异，即可判断：
- 403 + 长响应时间 + 无缓存头：很可能伊朗后端。
- 200 + 短响应时间 + 缓存头：非伊朗或过滤未触发。
这一方法无需直接扫描 IP，避免了 CDN 的 WAF（Web 应用防火墙）阻挡，且不泄露探测者 IP（因 CDN 代理）。
实战操作参数与清单
要落地此技术，建议使用 curl 或脚本自动化测试。核心参数配置如下：
-
基础请求模板：
curl -s -o /dev/null -w "%{http_code} %{time_total}s %{speed_download} %{response_header}" \
"https://target-site.com/" \
"https://target-site.com/?boobs=1"
- 关注
http_code：正常页 200，探测页 403。
time_total：>1s 疑似直达源站。- 响应头检查：无
cf-cache-status: HIT 或 x-cache: MISS。
-
关键词优化：
- 主推：
?boobs=1（高命中率，简短）。
- 备选：
?porn=1、?sex=1、?tits=1（测试多词覆盖过滤规则）。
- 编码变体：
?bo%6Fbs=1（URL 编码 o→%6F，绕过简单过滤）。
- 阈值：至少 3 个关键词 80% 一致性才确认。
-
自动化脚本清单（Python 示例，可落地）：
import requests
import time
def probe_iran_cdn(url):
normal = requests.get(url, timeout=10)
probe = requests.get(f"{url}?boobs=1", timeout=10)
if normal.status_code == 200 and probe.status_code == 403:
if 'cf-cache-status' not in probe.headers and probe.elapsed.total_seconds() > 1:
return "Likely Iranian backend"
return "Non-Iranian or cached"
- 超时：10s（防挂起）。
- User-Agent 伪装：
Mozilla/5.0... 模拟浏览器。
- 代理旋转：Tor 或住宅 IP 池，避免封禁。
-
监控与阈值参数：
| 指标 |
正常值 |
伊朗阈值 |
权重 |
| HTTP 码 |
200 |
403 |
高 |
| 响应时延 |
<0.5s |
>1.5s |
中 |
| 缓存头 |
HIT |
MISS/无 |
高 |
| 内容长度 |
>1KB |
<500B |
低 |
| 重试一致性 |
3/3 |
3/3 |
高 |
- 批量阈值：测试 5 个路径（如 /、/about、/api），>60% 触发即确认。
- 日志：记录
curl -v 完整头，避免遗漏。
局限性与风险缓解
- 假阳性：站点自带过滤（如 WordPress 插件阻挡 NSFW 查询），需交叉验证多关键词。
- 假阴性：CDN 配置缓存 403（罕见），或伊朗后端未部署过滤。
- 反侦察：日志记录查询参数，建议单次测试 + 随机延时（1-5s）。
- 法律风险：纯被动 GET，无负载，仅情报收集合法；避免针对敏感目标。
- 回滚策略：若被封，切换关键词或路径；用 headless 浏览器模拟。
此技术源于 Twitter 用户 @hkashfi 的分享，适用于 OSINT（开源情报）场景，如供应链审查或威胁狩猎。实际部署中，结合 Shodan/Censys IP 情报，提升准确率至 90%以上。
来源：https://twitter.com/hkashfi （2025 近期推文）。