在网络安全侦察中,识别 CDN(内容分发网络)背后的真实后端服务器位置是一项常见需求,尤其是当目标站点使用 Cloudflare、Akamai 等 CDN 时,直接 IP 探测容易被阻挡或泄露自身位置。一种巧妙的被动探测技术是利用伊朗的内容过滤机制,通过附加特定查询参数如 ?boobs=1 来触发后端过滤器,从而绕过 CDN 缓存直接从源站获取响应,实现地理位置确认。
技术原理
伊朗的互联网基础设施受严格的内容审查管制,许多 ISP 和托管服务部署了关键字过滤系统,针对 NSFW(不适宜内容)相关词汇如 “boobs” 等进行阻挡。当请求携带此类关键词时,即使仅在查询参数中,后端服务器也会返回 HTTP 403 Forbidden 错误。这种错误通常不被 CDN 缓存,因为 4xx 响应多配置为“bypass cache”(绕过缓存),从而强制请求直达源站。
相比之下,非伊朗后端不会触发过滤,返回正常 200 OK 响应,可能命中 CDN 缓存(响应头含 Cache-Control 或 CF-Cache-Status: HIT)。通过对比正常 URL 与带参数 URL 的响应差异,即可判断:
- 403 + 长响应时间 + 无缓存头:很可能伊朗后端。
- 200 + 短响应时间 + 缓存头:非伊朗或过滤未触发。
这一方法无需直接扫描 IP,避免了 CDN 的 WAF(Web 应用防火墙)阻挡,且不泄露探测者 IP(因 CDN 代理)。
实战操作参数与清单
要落地此技术,建议使用 curl 或脚本自动化测试。核心参数配置如下:
-
基础请求模板:
curl -s -o /dev/null -w "%{http_code} %{time_total}s %{speed_download} %{response_header}" \
"https://target-site.com/" \
"https://target-site.com/?boobs=1"
- 关注
http_code:正常页 200,探测页 403。
time_total:>1s 疑似直达源站。
- 响应头检查:无
cf-cache-status: HIT 或 x-cache: MISS。
-
关键词优化:
- 主推:
?boobs=1(高命中率,简短)。
- 备选:
?porn=1、?sex=1、?tits=1(测试多词覆盖过滤规则)。
- 编码变体:
?bo%6Fbs=1(URL 编码 o→%6F,绕过简单过滤)。
- 阈值:至少 3 个关键词 80% 一致性才确认。
-
自动化脚本清单(Python 示例,可落地):
import requests
import time
def probe_iran_cdn(url):
normal = requests.get(url, timeout=10)
probe = requests.get(f"{url}?boobs=1", timeout=10)
if normal.status_code == 200 and probe.status_code == 403:
if 'cf-cache-status' not in probe.headers and probe.elapsed.total_seconds() > 1:
return "Likely Iranian backend"
return "Non-Iranian or cached"
- 超时:10s(防挂起)。
- User-Agent 伪装:
Mozilla/5.0... 模拟浏览器。
- 代理旋转:Tor 或住宅 IP 池,避免封禁。
-
监控与阈值参数:
| 指标 |
正常值 |
伊朗阈值 |
权重 |
| HTTP 码 |
200 |
403 |
高 |
| 响应时延 |
<0.5s |
>1.5s |
中 |
| 缓存头 |
HIT |
MISS/无 |
高 |
| 内容长度 |
>1KB |
<500B |
低 |
| 重试一致性 |
3/3 |
3/3 |
高 |
- 批量阈值:测试 5 个路径(如 /、/about、/api),>60% 触发即确认。
- 日志:记录
curl -v 完整头,避免遗漏。
局限性与风险缓解
- 假阳性:站点自带过滤(如 WordPress 插件阻挡 NSFW 查询),需交叉验证多关键词。
- 假阴性:CDN 配置缓存 403(罕见),或伊朗后端未部署过滤。
- 反侦察:日志记录查询参数,建议单次测试 + 随机延时(1-5s)。
- 法律风险:纯被动 GET,无负载,仅情报收集合法;避免针对敏感目标。
- 回滚策略:若被封,切换关键词或路径;用 headless 浏览器模拟。
此技术源于 Twitter 用户 @hkashfi 的分享,适用于 OSINT(开源情报)场景,如供应链审查或威胁狩猎。实际部署中,结合 Shodan/Censys IP 情报,提升准确率至 90%以上。
来源:https://twitter.com/hkashfi (2025 近期推文)。