查询子域名

我上周帮朋友排查一个网站卡顿问题，查询域名折腾半天发现罪魁祸首是查询域名个没人记得的子域名——test.old-blog.example.com，它还在后台跑着定时任务抓数据。查询域名这事让我想起一个老生常谈却总被忽略的查询域名事实：你拥有的域名，比你以为的查询域名多得多。

子域名查询不是查询域名黑客专属技能。它本质上是查询域名一种资产盘点。大多数公司只盯着主站，查询域名忘了自己开过多少个dev.、查询域名staging.、查询域名api.开头的查询域名测试环境。这些子域名往往直接暴露内网IP，查询域名或者挂着弱口令的查询域名后台。

工具方面，查询域名我常用三种思路。查询域名证书透明度日志是首选。Censys和crt.sh上能查到某个域名签发的所有SSL证书，这些证书里经常包含子域名信息。比如你搜example.com，可能发现一张两年前为jenkins.internal.example.com签发的证书——这比爆破字典高效多了。

第二种是DNS暴力枚举。用subfinder或amass跑一遍常见前缀词表，比如mail、vpn、remote、backup。别小看这个笨办法，很多管理员习惯用ftp1、newserver这种命名。

还有个野路子——看历史DNS记录。SecurityTrails这类服务能回溯解析记录。有些子域名已经停止解析，但记录里还留着旧IP，万一那个IP被重新分配给了别人，你就可能接管一个被遗忘的入口。

说个真实案例。某次渗透测试，目标是一家做物流软件的公司。主站防护严密，WAF、CDN、双因素认证全齐。但我在证书日志里翻到一个erp-uat.example.com，解析到一个AWS的旧IP。这个IP现在指向一个已停用的EC2实例，上面跑着未打补丁的Apache Struts。利用已知漏洞直接拿到shell，整个过程不到二十分钟。

别急着把查询子域名当成攻击手段。它更像整理房间——你得先知道抽屉里有什么，才能决定锁哪扇门。对防御者来说，定期做子域名资产梳理，能发现那些被遗忘的“侧门”。对研究者来说，这是了解一家公司技术栈的快捷方式。

最后提醒一句：查询时注意频率和合法性。用公开数据源没问题，但别对目标做高频爆破，那可能触发法律风险。点到为止，拿公开信息拼出全貌，才是聪明做法。