拿一个真实案例开头吧。域名上个月帮朋友排查一个疑似钓鱼站点，名查域名是域名 `paypal-verify.secure-login.net`。乍一看挺像那么回事，名查但拆开看就露馅了——`secure-login.net` 才是域名真正的注册域，`paypal-verify` 只是名查它下面的一个子域名。攻击者花几块钱买了个冷门主域，域名然后无限量地往上挂子域，名查每个子域都能指向不同的域名服务器IP，用来做钓鱼页面或者分发恶意程序，名查成本极低，域名封一个换一个。名查

这就是域名子域名查询最直接的用途：看清一个域名的真实结构，别被前缀忽悠了。名查子域名和二级域名在中文语境里经常混着叫，域名但严格说，`baidu.com` 是二级域名（顶级域是 `.com`），`news.baidu.com` 是三级域名，不过大家平时都习惯把 `news.baidu.com` 叫成 `baidu.com` 的子域名。实操中不用抠这个字眼，你只要知道：一个主域名下面挂的所有前缀，都算它的子域名。

查询子域名有几个土办法，也有几个野路子。最笨但最有效的是查证书透明度日志——任何网站要上HTTPS，就得向CA机构申请证书，这些证书签发记录是公开的，里面会列出域名和所有子域。用 `crt.sh` 这个免费网站，输入主域名，几秒钟就能拉出几百上千条子域记录。我见过最夸张的一个案例，某大厂的域名在crt.sh上有超过两万条子域记录，其中一半是测试环境、内部系统、甚至已经废弃的旧项目，全是攻击面。

还有个办法是暴力枚举，拿一个字典去猜，比如 `admin.xxx.com`、`test.xxx.com`、`dev.xxx.com` 这种常见前缀。工具比如 `subfinder` 或 `amass` 会先跑一遍证书透明度，再叠加字典爆破，最后还会去翻一些公开的DNS数据集。这活儿拼的是耐心，有的域名管理员习惯不好，把内部系统直接挂在子域上还不设访问限制，一猜一个准。

说个我自己的观察。很多小公司根本不关心子域名管理，早年为了跑活动临时买了域名，活动结束就扔那儿不管了。子域名指向的服务器可能早就过期未续费，但DNS记录还在——这就是所谓的“子域名接管”漏洞。攻击者注册那个过期域名，就能直接控制你公司域名下的某个子域，用来发钓鱼邮件，邮件还能通过SPF和DKIM校验，因为发件域名是你公司的。去年我帮一个客户排查，发现他们有个 `backup.xxx.com` 指向一个已经停机的AWS EC2弹性IP，那个IP早就被别人重新分配了，等于公司内网备份系统的大门钥匙插在锁孔里，谁路过都能拧一下。

查询子域名的工具链里，`SecurityTrails` 的API挺好用，能查历史DNS记录，看一个子域曾经指向过哪些IP，对溯源攻击很有帮助。`DNSDumpster` 则会把子域和对应的IP画成拓扑图，一眼看清网络分区。免费的够用，但如果你在做渗透测试，建议把 `crt.sh`、`otx.alienvault.com`、`rapiddns.io` 三个交叉比对，能覆盖掉90%的公开子域信息。

最后提醒一句：查询别人家的子域名，边界要拎清楚。公开信息查询没问题，但如果你顺着子域摸到内网系统，还试着登录或者爆破，那就是另一码事了。子域名查询本身是个放大镜，不是撬锁器。用好了，你能在攻击者动手之前发现自己暴露在公网的家底；用歪了，性质就变了。建议每个做运维或安全的人，每个季度把你负责的域名拉一遍子域清单，看看有没有“僵尸子域”还挂在外面——这活儿不复杂，但确实能挡掉不少麻烦。

(责任编辑：探索)