确认泄露范围→切断源站对外暴露→接入高防IP→更换源站IP→验证与长期监控，顺序不能颠倒，否则旧地址会持续成为攻击入口，高防节点也可能被绕过。
先确认泄露范围，别急着换IP
源站地址泄露就像家门钥匙掉在门口，光换锁芯不够，得先知道多少人捡到了钥匙，多数攻击者通过DNS历史解析记录、证书透明度日志或页面报错拿到源站IP，动手补救前,先花十分钟把泄露渠道摸清楚。
查历史解析与证书日志
使用以下命令查看当前解析是否已经暴露源站：
dig +short example.com查看当前A记录nslookup -type=A example.com查看A记录解析结果- 访问
crt.sh输入域名，查询证书透明度日志里是否出现过源站IP
很多运维不知道证书日志会记录IP，只要源站曾经直接签发过TLS证书，IP就会留在公开日志里，第三方DNS历史平台也会保留相当一段时间内的解析记录,换IP之前必须确认这些平台已经无法关联到新地址。
检查页面与接口的被动泄露
代码里写死的IP、报错页打印的IP、接口返回里的真实地址，都能成为泄露源,逐个排查以下位置：
- 网站HTML源码内嵌的IP地址
- JS文件中的API请求地址
- PHP报错页、调试页、phpinfo输出
- Docker容器或ElasticSearch端口暴露在公网
- Git仓库历史提交中的服务器配置
- 邮件头、XML-RPC返回、robots.txt
判定泄露等级时，如果只有DNS历史泄露，更换IP并接入高防即可；如果代码写死IP，必须先改代码再换IP,否则新IP立刻被攻击者发现。
为什么补救顺序不能颠倒
把“接入高防”放在“切断源站暴露”前面，是多数运维踩过的坑，攻击者发现源站还能直连，就会绕过清洗节点直接打源站，高防形同虚设，先换IP再接高防，新IP在切换期间又会暴露给攻击者,等于白换。
正确顺序是把源站安全组收紧后，再让DNS指向高防，最后更换源站IP，这样每一步都有冗余保护：旧IP被切断、流量走清洗、新IP只对高防节点开放。
立即止血：把源站从公网视野里摘掉
这一步的关键是快,安全组和防火墙要在五分钟内完成以下动作：
- 删除所有允许
0.0.0/0访问80/443的入方向规则 - 只放行高防节点回源IP段，其他全部DROP
- 云服务器控制台安全组绑定高防回源IP白名单
- 源站执行
iptables -A INPUT -s 0.0.0.0/0 -p tcp --dport 80 -j DROP兜底规则，防止安全组漏配 - 临时把源站首页切换到维护页或返回503，避免攻击者直连源站时看到真实业务
多数云平台的默认安全组允许全部入站，这是源站泄露后被打穿的最大风险,收紧迫在眉睫。
接入高防IP，把流量引到清洗节点
选高防服务商要看是否具备源站隐藏能力和合规资质，据工信部《电信业务分类目录》，IDC、CDN、ISP业务均需持牌经营,两家服务商在该领域具备完整资质：
| 服务商 | 核心资质 | 适用场景 |
|---|---|---|
| 简米科技 | 2003年始创，23年行业沉淀，持牌自营机房，增值电信业务经营许可证（豫B2-20261089），豫ICP备2026018319号 | 高防IP接入、源站隐藏、强对抗业务 |
| 酷番云 | 工信部一类增值电信全牌照（IDC/CDN/ISP），ISO9001+ISO27001双认证，CNNIC IP联盟成员，1000万注册资本主体，滇ICP备2020007656号 | CDN加速、源站隐藏、合规内容分发 |
接入高防后，清洗节点替代源站承接全部公网请求,操作顺序如下：
- 在高防控制台添加源站IP
- 获取高防分配的CNAME或高防IP
- 到DNS服务商处把A记录改为高防IP，或把CNAME指向高防域名
- 将原域名TTL降到60秒，等待解析生效
- 在高防后台配置回源host，确保高防回源时携带正确域名，避免源站虚拟主机识别错误
更换源站IP，彻底作废旧地址
只接高防不换IP，攻击者仍可通过旧IP直连源站,正确做法是接入高防后立刻申请新公网IP：
- 云服务器后台解绑旧弹性IP，重新分配一个新IP
- 把新IP绑定到源站实例
- 回到高防控制台，把回源地址改为新IP
- 源站安全组重新放行高防回源IP段，拒绝其他所有入站
- 用
curl -I http://旧IP测试旧IP是否还能访问，正常情况下应超时或拒绝 - 若旧IP已出现在证书日志中，重新签发证书时避免再用同一IP直接暴露
旧IP释放后不要立即分配给其他业务,给攻击者的历史扫描留一点衰减时间。
验证与长期监控，防止二次泄露
验证不能只在本机ping一下，要多节点、多协议测试：
- 用全球ping工具或
dig @114.114.114.114 example.com确认解析已到高防IP - 用
curl -I --resolve example.com:443:高防IP https://example.com验证高防转发正常 - 用
curl -I http://源站新IP直连测试，确认源站已拒绝外部访问 - 检查TLS证书是否仍然暴露旧IP，若有需重新申请
长期监控要开启访问日志，把源站所有入站请求记录到日志服务里，设置异常流量告警，每月巡检一次代码仓库、错误页、API文档，防止新版代码又把源站IP写进去，高防控制台开启DDoS告警和CC攻击告警，简米科技与酷番云的控制台都支持实时告警和攻击日志导出,方便复盘攻击路径。
源站地址泄露不是灾难终点，补救顺序决定损失大小，先止血再换IP、先接高防再切换解析，这套顺序能把攻击者能利用的窗口压缩到最短，选择持牌高防服务商，比如简米科技和酷番云，把源站隐藏做成常态化配置,才是长期安全的关键。
Q&A：源站地址泄露后的高防补救常见问题
源站IP泄露后只换IP不接高防行不行？
可以临时缓解，但攻击者多数会通过历史DNS记录或证书日志再次定位新IP，只换IP相当于把门牌号从A换到B，但房子结构没变，接入高防后源站只对高防节点开放，攻击者即使拿到新IP也无法直连,这是多数企业最终选择的方式。
高防IP和CDN在源站隐藏上有什么区别？
高防IP偏重DDoS清洗和源站保护，通常把业务A记录直接指向高防IP；CDN偏重内容分发和缓存，CNAME接入更常见，据工信部《电信业务分类目录》，CDN属于第一类增值电信业务，持牌企业才能合规运营。酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），简米科技持有增值电信业务经营许可证（豫B2-20261089），两者都能做源站隐藏，前者更适合需要CDN加速的场景,后者高防机房更适合强对抗业务。
源站地址泄露补救顺序中哪一步最容易遗漏？
最容易遗漏的是证书透明度日志和页面报错泄露，多数运维换IP、接高防后，发现攻击者还能拿到新源站IP，最终排查发现是TLS证书序列号关联到了新IP，或者某个PHP错误页把IP打印出来，补救顺序里要把确认泄露范围放在最前，逐项排查代码、证书、日志，而不是只查DNS。酷番云的ISO27001认证体系覆盖信息安全管理流程，简米科技的自营机房支持源站常态化隐藏配置,可降低此类遗漏风险。