注册商、托管商、CDN：谁真正能够采取行动？
面对一个钓鱼网站，一个问题总会反复出现：该写信给谁才能让它停止？答案取决于一个常被忽视的细节：一个网站从来不只有一个技术负责人，而是有多个，每个都拥有不同的权力。找错收件人，意味着要等上一周才能得到本可在一小时内由正确的对接人完成的行动。
什么是注册商？
注册商是购买域名（例如 secure-login.example）的机构。正是它向域名注册局（.com、.cn、.net……）注册了这个名字，并且可以根据举报暂停该域名：一旦暂停，无论该域名指向何处都会停止工作。一次钓鱼活动中已经发送的所有链接会瞬间全部失效，即使背后的服务器仍在运行。
什么是托管商？
托管商是运行网站的物理或虚拟机器（即服务器）的所有者。它可以关闭这台机器，或者如果服务器上的其他内容是合法的（例如被入侵的网站的情形），则移除特定的页面。关闭托管会立即移除页面，但无法阻止诈骗者在几分钟内将其域名重新指向另一台服务器。
什么是 CDN？
CDN（内容分发网络）是一个中间服务器网络，如 Cloudflare、Akamai 或 Fastly，部署在真实服务器之前。它加速页面加载，过滤部分不良流量，最重要的是：它会向普通访客隐藏源服务器的真实 IP 地址。CDN 可以向访客显示警告或阻止访问某个页面，但无法删除网站：它只是代表其真正所有者进行转发。
谁控制什么？
| 参与者 | 拥有什么 | 能做什么 |
|---|---|---|
| 注册商 | 域名 | 暂停整个域名 |
| 托管商 | 服务器（机器） | 关闭机器或移除某个页面 |
| CDN | 服务器前的中继 | 警告或屏蔽访客，转发投诉 |
这三种行动是互补的，而非互相替代。只关闭服务器而不处理域名，会让诈骗者在几分钟内在别处重新搭建；只暂停域名而不对服务器采取行动，则会让这台机器仍可用于其他域名。
具体案例：Cloudflare 背后的一个钓鱼网站
一个网站在地址 https://secure-login.example 上模仿一家银行的登录页面。对其 IP 地址进行 WHOIS 查询返回的结果是……Cloudflare。乍一看，人们可能会以为 Cloudflare 就是托管该网站的地方。但实际情况几乎从来不是这样：Cloudflare（或类似的 CDN）只是充当中间人。真正承载这个仿冒页面的服务器位于别处，属于一个在这次初步 WHOIS 查询中根本没有出现的托管商。
为什么仅向 CDN 举报可能不够
仅发送给 CDN 的举报可能会迅速引发反应：例如，Cloudflare 在 abuse.cloudflare.com 提供了专用表单，并可以向访客显示安全警告。但只要真正的服务器还在运行，诈骗者就可以将网站从该 CDN 撤下并继续直接提供服务，或将其转移到另一个 CDN 后面。CDN 只能拖延，无法阻止。要实现持久的关闭，还必须一路追溯到真正的托管商，并通知域名的注册商。
如何识别真正的托管商
不使用专门工具，通常也有几个线索可以找到 CDN 背后的源服务器：
- DNS 历史记录：一些 DNS 历史查询服务有时会保留一个域名在接入 CDN 之前使用过的 IP 地址。如果该网站历史悠久，或最近才改变了配置，旧的 IP 可能仍会出现在其中。
- 被遗忘的子域名：大型机构会在主站点上启用 CDN，但有时会忘记一个附属子域名（
mail.、ftp.、dev.、webmail.），它仍然直接指向真正的服务器。 - 邮件头和证书：一些配置不当的服务器在直连时的响应与通过 CDN 时不同，或者暴露出与另一个名称相关联的证书。
- 邮件头：如果钓鱼是通过电子邮件传播的，发送服务器的 IP 地址（参见如何读取完整的邮件头）有时与网站属于同一个托管商，即使该网站受到 CDN 的保护。
当这些线索都不够用时，CDN 仍是一个必经环节：其滥用表单可以用来举报该页面，一些 CDN 会自行将投诉转发给它们所知晓的真正托管商。
撰写举报
一旦确定了正确的对接方，一份有效的举报应保持简短且可核实：页面的准确地址（不仅仅是域名），如果媒介是电子邮件，则需要截图或完整的邮件头，以及发现的日期和时间。写信给 CDN 是为了立即发出警告，写信给注册商是为了关闭域名，写信给托管商是为了关闭机器——每一方只处理与其相关的部分，而不是把所有内容一股脑发给所有人。
- 注册商管理域名，可以将其完全暂停。
- 托管商管理服务器，可以关闭机器或移除特定页面。
- CDN 并不托管网站：它只是转发网站，隐藏其真实 IP，并可以警告访客，但无法将其删除。
- WHOIS 返回一个 CDN 几乎从来都不是调查的终点：必须寻找其背后的真正服务器。
- DNS 历史记录、被遗忘的子域名和邮件头都是找到它的良好起点。
这正是 Baitback 所做的：从一封邮件或一个链接出发，工具找到发送服务器，即使在 CDN 背后也能识别出真正的托管商，并准备好发送给每个相关方的举报消息。