内容摘要：昨天帮朋友排查一个被钓鱼的网站，输入域名后，我习惯性地先跑了子域名枚举。结果不出意外，一堆测试子域名暴露在公网，其中一个还是开发环境，后台密码是admin。这不是个例，我见过太多企业把核心业务藏在内网

昨天帮朋友排查一个被钓鱼的域名网站，输入域名后，查询我习惯性地先跑了子域名枚举。域名结果不出意外，查询一堆测试子域名暴露在公网，域名其中一个还是查询开发环境，后台密码是域名admin。这不是查询个例，我见过太多企业把核心业务藏在内网，域名却让子域名裸奔在DNS记录里。查询

IP子域名查询的域名本质，就是查询把域名解析的树状结构拆开来看。主域名是域名树干，子域名是查询枝杈，而IP地址是域名每根枝杈最终扎入的土壤。你输入一个主域名，工具会通过字典爆破、搜索引擎缓存、证书透明度日志、DNS历史记录这些渠道，把隐藏的枝杈全扒出来。这活儿不复杂，但极其依赖数据源的积累。像crt.sh这种证书透明度平台，能查到每张SSL证书签发的所有域名，很多运维图省事，把测试环境也签了正式证书，这就等于自己把门牌号贴到了大街上。

查询结果里最值得玩味的是IP归属。同一个IP上可能挂着十几个不同主域名的子站，这叫IP反查。你用必应收录的IP反查接口一搜，能发现哪些站共享同一台服务器。这时候如果其中一个站被入侵，其他站基本也跑不掉——毕竟Web容器、数据库配置、文件权限大概率是同一套。我上次做渗透测试，就是靠IP反查找到目标公司的一个老旧OA系统，那个系统用的还是2008年的框架，漏洞一打一个准。

实际操作中，子域名查询往往比主域名直接扫描更高效。主站防护严密，WAF、CDN层层叠叠，但子域名经常是裸奔的。比如一个电商公司，主站有全套安全设备，但物流查询子站可能只做了个简单跳转，参数没过滤，SQL注入一测就通。更别提那些被遗忘的临时活动页、市场部做的抽奖H5，这些子域名可能上线三天就废弃，但DNS记录还在，服务器没关，就成了攻击者的后花园。

工具选择上，我常用的是subfinder和amass做被动收集，配合dnsx做主动验证。被动收集不直接触碰目标服务器，靠的是证书透明日志、威胁情报平台这些第三方数据，隐蔽性高。主动验证就粗暴些，直接对候选域名发DNS请求，看有没有解析记录。这两步走完，能覆盖七八成的子域名。剩下的漏网之鱼得靠爆破——用常见前缀词表去试，比如test、dev、api、backup这些。爆破效率取决于字典质量，好的字典会结合公司业务特征生成词，比如一家叫蓝海科技的公司，你得试试lianhai-dev这种组合。

查到IP后别急着收工。顺手用Shodan或Censys扫一下这个IP的端口，看有没有开3389、22这类远程管理端口。再查一下这个IP的ASN归属，如果云服务商是阿里云或者腾讯云，那大概率是弹性IP，换绑很频繁，今天的IP明天可能就不是这家公司的了。这时候得结合DNS历史记录，看这个域名历史上解析到过哪些IP段，那些旧IP可能还在跑着未下线的服务——这种裸奔的旧服务器，往往比现役的更脆弱。

很多人觉得子域名查询是黑客才用的手段，其实运维也在天天用。排查CDN配置有没有遗漏、验证SSL证书覆盖是否完整、检查是否有未备案的解析记录，都靠这个。区别只在于，防守方查完会补漏洞，进攻方查完会钻漏洞。工具是死的，人是活的。你问我查子域名最核心的诀窍？就一句话：别盯着主域名死磕，真正的薄弱点永远藏在那些没人记得的子域名里。