CDN（如CloudFront和CloudFlare）提供IP防火墙、客户端与服务器认证及WAF过滤等安全功能，但源站公开访问是常见错误配置，直接请求源站不会被CDN过滤。常见缓解措施是实施CDN IP范围允许列表，但由于CDN IP范围由所有客户共享，当流量通过同一CDN的次要账户到达源站时，IP允许列表不足以限制访问。攻击者识别目标源站IP后，使用同一CDN创建新账户，禁用安全功能并将源站指向该IP，即可绕过原账户的安全限制。CDN无法阻止此类攻击，因为安全功能仅应用于通过预期账户的请求，且CDN不限制账户的源站配置，依赖客户在源站阻止意外访问。作者创建了cdn-proxy和cdn-scanner两个工具演示该问题。
原文: APNIC Blog（2022-05-19）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog