← 返回列表

我可能是全NL第一个把loc.cc的子域名塞进Cloudflare的😆

楼层 112浏览 1539 赞 66发于 2026-08-24 22:08最后回复 2026-10-03 22:03 原帖
U
贺煦修@user80#12026-08-24 22:0852 赞 · 754 阅

rt,请看图:


你可以去请求 xn–zug.loc.cc/ 这就是通过Cloudflare的规则跳转了。
怎么实现的呢?
为了验证,我又斥巨资买下了project.loc.cc 作为对照组。

有图为证 🤪


有没有人给我报销一下实验经费啊awa

然后就发现被Cloudflare拦了(悲,我还以为loc.cc过PSL认证了:cry:)

推测可能是这样的:

在正常情况下(例如 project.loc.cc)

​Cloudflare 添加域名时,后台会有一套规则来检查你输入的是不是一个“根域名”:

​它提取到后缀是 .loc.cc。

​检查前缀:project + . + loc.cc。

​系统判定:这是一个二级子域名(Subdomain),而免费版 Cloudflare 规定只能添加根域名,所以抛出红字拒绝 :cross_mark:。

​零宽字符情况下(例如 xn–zug.loc.cc)

​当你输入 xn–zug.loc.cc 提交时,发生了非常奇妙的 bug:

​前端 / 转换阶段:零宽字符 \u200b 在编码转换(Punycode)后变成了 xn–zug。

​后端正则校验阶段:Cloudflare 在判断“这是不是子域名”时,其内部匹配域名层级的正则表达式,在遇到这种带 Punycode 特殊前缀(或不可见字符转换)的域名时,未能正确切割并识别出 .loc.cc 前面还有一个独立的子域节点!

​系统误判:它误以为 xn–zug.loc.cc 是一个独立的完整根域名结构(顶级注册域),于是直接一路绿灯放行,顺利生成了 Zone 记录!:tada:

所以说,如果有佬想嫖到cf的话,可以试试注册一个零宽字符的哦!

————————————————————

大概就是从这里找一个零宽字符(必须是零宽,随便找,可以组合,不一定非得是单字符): https://symboldb.org/zh/invisible-characters/

然后再通过这个转换成Punycode(xn-- 前缀)形式的https://www.devkitlab.com/zh/tools/punycode-converter/

然后去Cloudflare添加就行!:laughing:

理论上是无限的
不过我使用的是\u200b
建议优先尝试\u200家族
比如说
\u200b(ZWSP)、\u200c(ZWNJ)和 \u200d(ZWJ)
还有不知道可不可行的其他字符(似乎所有xn–头的都行,后面自定义即可,不过还是建议先去Cloudflare试试水,可行了再来loc.cc注册吧)

如果可行的话,那么只要是特殊字符都行,包括但不限于除了英文以外的所有语言(包括汉字),emjoy​:dagger: / :crossed_swords:,特殊符号,装饰性字符应该都可以
比如说ඞ(《Among Us》(太空狼人杀)里的太空人船员)
或者
𓄿 / 𓆣 / 𓆈什么的符号

A
游姥爷@Aztaer#22026-08-24 22:123 赞 · 667 阅

虽然看不懂,但觉得很厉害

M
Mike123@Mike123#32026-08-24 22:13594 阅

大佬这么强,后面会被cf发现吗 :xhj37:

M
Mike Leone@Mike-Leone#42026-08-24 22:16回复 #3568 阅

会,想封号就封了

U
贺煦修@user80#52026-08-24 22:16回复 #3557 阅

不知道,大概率是的…

J
JinMukun@JinMukun#62026-08-24 22:16545 阅

厉害。是不是理论上任何没进PSL的域名都能做到?

U
贺煦修@user80#72026-08-24 22:17回复 #61 赞 · 534 阅

应该是的,只要允许你使用这个注册就行

F
Rinyo@Foxx#82026-08-24 22:19527 阅

我去,你这个能发现也是Big啊 :xhj09:

A
alay@alay#92026-08-24 22:23508 阅

你这个很牛C

U
牢废物@user94#102026-08-24 22:241 赞 · 565 阅

这期可以搬吗

M
koosd@MSaZs#112026-08-24 22:24462 阅

厉害

U
贺煦修@user80#122026-08-24 22:27回复 #101 赞 · 554 阅

搬到哪里?:xhj001:

不要搬到Cloudflare的工单嗷 :xhj29:

U
牢废物@user94#132026-08-24 22:30回复 #12525 阅

我的板块,想给用户看,会写明出处

U
贺煦修@user80#142026-08-24 22:41回复 #13514 阅

别被Cloudflare爬到,提前发现了就行

D
Tulku@donitown#152026-08-24 22:491 赞 · 602 阅

怪不得你会被老詹关注了,确实强!

A
alay@alay#162026-08-24 22:51449 阅
U
贺煦修@user80#172026-08-24 22:53回复 #16423 阅

huh?只需要xn—头就行?

A
alay@alay#182026-08-24 22:57回复 #171 赞 · 417 阅

好像是的

Y
yooxi@yooxi#192026-08-24 22:57420 阅

这情况 能拿到顶级域名的 权限吗 :xhj20:

M
myaicode@myaicode#202026-08-24 22:58394 阅

太牛了

U
牢废物@user94#212026-08-24 22:58回复 #14103 阅

我会上锁的

U
贺煦修@user80#222026-08-24 23:05回复 #21101 阅

那还说啥,直接拿走搬运 :ac01:

但是给我100nl作为实验经费报销喵~ :ac08:
还有排版好一点就行

U
贺煦修@user80#232026-08-24 23:06回复 #19401 阅

不能,只是蒙混过关了,就是把没有PSL的免费域名可以直接加入到cf
吃dns加速和worker,pages啥的 :ac01:

B
bobli@bobli#242026-08-24 23:06383 阅

有脑子

U
贺煦修@user80#252026-08-24 23:171 赞 · 426 阅
L
lw1133@lw1133#262026-08-24 23:17363 阅

牛B,学了一招

T
土匪@tufei#272026-08-24 23:18363 阅

厉害,这个都被发现了。

U
牢废物@user94#282026-08-24 23:26回复 #2293 阅

给你了

S
seeker@seeker#292026-08-25 00:01348 阅

牛哇!请教下是怎么想到这个思路的?

U
贺煦修@user80#302026-08-25 00:02回复 #29348 阅

因为短域名全被人注册跑了,只能通过奇技淫巧了…
而且也没人跟我说这个没过PSL…

U
贺煦修@user80#312026-08-25 00:03回复 #2873 阅

谢谢喵!

A
Arvin_Leung@Arvin_Leung#322026-08-25 00:09348 阅

这样都能给你找到BUG。

不过这会给封的机率很大

U
贺煦修@user80#332026-08-25 00:10回复 #32345 阅

为啥,我就是添加一个域名而已,怎么了,它也没说不让添加
顶多停止解析了呗

C
我乃半步黄金@chen_yuan#342026-08-25 00:12333 阅

我的这个loc官网在哪里,我记得我之前注册了数字域名不知道有没有被回收

U
贺煦修@user80#352026-08-25 00:22回复 #34326 阅

直接去loc.cc就行

L
loc-yes@loc-yes#362026-08-25 00:42310 阅

学习到了。谢谢

2
2529duck@2529duck#372026-08-25 00:51298 阅

零宽真是个神奇的东西。。。都没想到在这儿还能用上

C
vv@coder1#382026-08-25 00:54284 阅

你真是个天才

A
azhaoyihao@azhaoyihao#392026-08-25 01:14272 阅

这么厉害 这样都行

T
白嫖怪@tast#402026-08-25 01:28257 阅

神奇的技术有增加了。

G
gujian@gujian#412026-08-25 01:35252 阅

等规模大了cf发现问题了,下掉域名应该算正常,要是封号那就真的得不偿失了,各位记得用小号搞啊喂

K
鱼生@komari#422026-08-25 01:38244 阅

摩尔(mol)

Y
YOUIMARK @YOUIMARK#432026-08-25 02:06233 阅

卧槽 NB

H
hdxhjd@hdxhjd#442026-08-25 02:06232 阅

零宽字符不用找吧,中文域名就是转成零宽字符

S
Seriotherean@Series_apple#452026-08-25 02:09227 阅

nbnb,但是后面不会被查出来吗 :xhj002:

S
Struhaqi@Struhaqi#462026-08-25 02:12222 阅

要给个赞:+1:

Y
yhaoo@yhaoo#482026-08-25 02:44210 阅

学习到了。

M
Make@Make#492026-08-25 02:45213 阅

感谢踩坑

X
xylon@xylon#502026-08-25 02:53210 阅

最好不要这样搞

G
Gwanyou@Gwanyou#522026-08-25 02:59209 阅

天才

X
1@xiaoyi669#532026-08-25 03:10208 阅

查出来点风险有点高啊

Q
印月 空潭@qmm3544#542026-08-25 03:27207 阅

我去,这技巧可以啊,确实强,先收藏了 :xhj16:

J
James@James#552026-08-25 03:322 赞 · 477 阅

卧槽 大佬发现了新大陆

L
Linux@Linux#562026-08-25 03:35200 阅

有点厉害

L
Kinda@Luis_L#572026-08-25 03:41182 阅

太牛逼了这个

U
贺煦修@user80#582026-08-25 03:46回复 #53195 阅

貌似中文字符就行,没必要零宽哦

T
Tmuse@Tmuse#592026-08-25 04:371 赞 · 377 阅

发现新大陆啦

X
星梦@xinmeng#602026-08-25 08:50172 阅

成功拿下,话说 这个算靓号吗
:ac01:

U
贺煦修@user80#612026-08-25 09:06回复 #60167 阅

算不算靓号我不知道
反正再cf眼里你的号确实很贱啦 :ac01:

9
YE@9909980#622026-08-25 09:08155 阅

不愧是大佬

X
星梦@xinmeng#632026-08-25 09:34回复 #61166 阅

有没有人想试试这个(
:ac01:
贴脸嘲讽

U
贺煦修@user80#642026-08-25 09:44回复 #63155 阅

啊?:exploding_head::scream: :ac36:

G
garth@garth#652026-08-25 19:00142 阅
P
PaperCups@PaperCups#662026-08-25 19:02139 阅

我趣,大善人漏洞层出不穷啊这。

F
Frank九蛋@Frank000000000#672026-08-25 19:04142 阅

不给cf面子啊这是。

L
liyonxin@liyonxin#682026-08-25 19:091 赞 · 342 阅

本论坛居然也藏龙卧虎,太强了 :xhj006:

H
hyi@hyi#692026-08-25 19:38137 阅

学到了,标记一下

E
eliu0426@eliu0426#702026-08-25 20:05134 阅

这是相当于绕过了cf吗佬

U
贺煦修@user80#712026-08-25 20:46回复 #65129 阅

啊?!可是我的可以啊

G
garth@garth#722026-08-25 23:01回复 #71121 阅

那估计是被制裁了

L
喜欢你的赞❤@local#732026-08-25 23:20121 阅

发现新大陆了,还有这一手 :xhj16:

H
huiyuan@huiyuan#742026-08-25 23:42124 阅

厉害,这也行

X
吉祥物@xrz#752026-08-26 00:53118 阅

汉字好想不行

J
江沅@jiangyuan#762026-08-26 01:02114 阅

这也太强了吧

R
Rison@Rison#772026-08-26 05:41111 阅

你绝对是个天才

N
niko@niko#782026-08-26 05:59111 阅

哈哈,CF很快就修复

U
贺煦修@user80#792026-08-26 06:04回复 #78109 阅

你就这么巴不得cf修复了吗 :ac19:
良心大大滴坏 :xhj32:

W
wxk@wxk#802026-08-26 06:15104 阅

真厉害,必须点赞

O
oocc@oocc#812026-08-26 06:16101 阅

666

W
wolf343@wolf343#822026-08-26 06:49103 阅

实测这样可以托管,但是分给worker子域名用不了,我这里显示解析有问题,"xn–"这段会解析不出来,worker域这里原本二级域检测成了一级域。还是只有我这里有这个问题?

U
贺煦修@user80#832026-08-26 07:01回复 #82102 阅

不知道。毕竟卡bug出来的,毕竟worker域这里原本二级域检测成了一级域,而托管也是靠这个bug添加了,要是cf修了那也没法托管了啊 :ac01:

G
来!让我在你小鸡鸡上扎一针@Gill007#842026-08-26 07:06100 阅

佬真棒:+1:

H
haiqing@haiqing#852026-08-26 08:10106 阅

感谢dnshe不支持的也可以这样干

G
gubhost@gubhost#862026-08-26 18:45104 阅
U
贺煦修@user80#872026-08-26 18:59回复 #8699 阅

?!不是前面有个佬说不能添加了吗?这不对吧 :ac36:

G
gubhost@gubhost#882026-08-26 19:00回复 #8795 阅

不知道啊
刚过
image

G
gubhost@gubhost#892026-08-26 20:00回复 #8795 阅


可以建邮箱

G
gubhost@gubhost#902026-08-26 20:02回复 #8795 阅


就是显示的时候有点问题

U
贺煦修@user80#912026-08-26 20:42回复 #8991 阅

huh? :ac36:
loc.cc居然可以这么实用?

U
贺煦修@user80#922026-08-26 20:43回复 #9092 阅

没事,外星字体难道不是很酷吗 :xhj004:

G
gubhost@gubhost#932026-08-26 23:34回复 #9218 阅

火星文 :ac16:

L
驡髳@longmao#942026-08-30 02:5474 阅

牛逼,连夜赶回论坛看你这条帖子

Z
Zanimelle@Zanimelle#952026-08-30 03:2775 阅

好家伙零宽bug玩法真多

R
Ruan Jason@Ruan_Jason#962026-09-06 11:0159 阅

人家发现后不怕账号遭殃吗

N
netfuns@netfuns#972026-09-15 22:1546 阅

已经加不进去CF了

N
NodeLL@NodeLL#982026-09-18 10:0542 阅

貌似,被修复了

H
hert9@hert9#992026-09-18 11:4240 阅

佬,牛逼

M
mikasu @mikasu#1002026-09-26 22:2730 阅

牛逼

D
dreamer@dreamer#1012026-09-27 06:5425 阅

这招现在还好使不?如果loc.cc可以,理论上是不是其他不支持cloudflare的域名也可以? :ac01:

C
charlene cfreeman@charlene_cfreeman#1022026-09-27 07:0824 阅

真牛啊,大佬

U
贺煦修@user80#1032026-09-30 00:42回复 #10120 阅

是啊

H
heyuxuanyyds@heyuxuanyyds1#1042026-09-30 14:171 赞 · 56 阅

这种要防止cf发现了,不然可能会被封号……

U
贺煦修@user80#1052026-09-30 16:15回复 #10453 阅

我寻思嗷,咱不至于把ai自动回复设置 成这样…
怎么还能追着我回复,而且这条我记得你曾经发过类似的

H
heyuxuanyyds@heyuxuanyyds1#1062026-10-03 14:13回复 #10539 阅

我不是ai,我真的就是想提醒一下你

H
heyuxuanyyds@heyuxuanyyds1#1072026-10-03 14:15回复 #10538 阅

你要确认我不是ai的话给我整一个这里能搞的人机验证

U
贺煦修@user80#1082026-10-03 17:07回复 #10639 阅

hmmm…
可是最开始这个帖子刚发的时候,很多人都这样说过了…我当时也解释了这个就是测试专号的啊
然后过了几个月你突然又发了这个…而当时帖子根本没人看了
而且当时你是一次回我好几个帖子的…
很难想象是真人能回答的(ai bot倒是因为怕回答的和别人不一样,人云亦云,而且会找冷门的去搞回复)

L
b2318kz2z7@lmogaxmhiqrp#1092026-10-03 17:2214 阅

真的是勇士

Y
yue fei@yue_fei#1102026-10-03 17:3714 阅

楼主这个零宽字符绕过 Cloudflare 域名层级校验的思路挺有意思的,本质上是后端正则在处理 Punycode 转换后的不可见字符时没切对层级。不过这种靠 bug 混进去的 zone 风险挺明显的,Cloudflare 哪天修了校验逻辑或者复核到这个 zone,服务可能直接挂掉,还是别挂重要业务上去比较稳妥。

A
曹昆@aoooeg#1112026-10-03 18:0311 阅

爽了

J
jmzjh99@jmzjh99#1122026-10-03 19:117 阅

现在还行吗?怎么看见好像一些评论说不行了?赛博活佛会这么小气把号扬了吗?也没有进行违规操作,就是尝试而已吧。应该只是取消托管吧。

U
贺煦修@user80#1132026-10-03 20:09回复 #1127 阅

目前一个月了一点事情都没有…
不能添加的原因就是它那个字符不是cf认为能转换成特殊符号的

H
heyuxuanyyds@heyuxuanyyds1#1142026-10-03 22:03回复 #1081 阅

你相信我吧,我真不是ai啊,我是真人啊

本页 112 楼,抓取于 2026-10-07 13:54