拿到一个IP地址，知道想反查它绑定了哪些域名，网站这事儿看着简单，查域实际坑不少。知道最直接的网站办法是跑一遍反向DNS（PTR记录），但结果往往让你失望——很多服务器压根没配PTR，查域或者只返回一个类似`1.2.3.4.static.example.com`这种毫无意义的知道hostname。

我上周帮朋友查一个攻击源IP，网站用`dig -x`命令扫了一遍，查域返回的知道PTR指向一个云服务商的内网节点名，根本看不出真实业务。网站这时候你得换思路：用被动DNS数据库，查域比如SecurityTrails或RiskIQ，知道它们常年爬取全球DNS解析记录，网站能告诉你这个IP历史上绑过哪些域名。查域输入IP一查，好家伙，三个月前它还挂着某个赌博网站的A记录——这种信息PTR永远给不了你。

另一个实用技巧是查SSL证书透明度日志。crt.sh上直接搜IP，能列出所有为该IP签发过SSL证书的域名。原理很简单：证书申请时会被公开记录，而证书里必然包含域名信息。我试过一次，一个IP下挖出17个不同域名，全是同一家公司的测试环境，这招对识别“一鸡多吃”的服务器特别有效。

还有更野的路子——看网络流量特征。如果你能拿到该IP的HTTP响应，直接看返回的HTML里引用了哪些静态资源路径，或者观察它重定向到哪个域名。很多服务器默认站点会跳转到主域名，这等于自己把底牌亮出来了。不过这个方法依赖服务器配置，碰上改了默认页面的老手就失灵了。

实在不行，就用暴力枚举法。拿IP去各大威胁情报平台（VirusTotal、AlienVault）交叉比对，它们聚合了全球安全厂商的扫描结果，经常能关联到恶意软件C2域名。我有个习惯：任何IP先扔进VirusTotal看“Relations”标签页，如果关联域名列表里有几个看起来像随机生成的子域名，八成是僵尸网络节点。

最后提醒一句：查到的域名未必都还活着。IP可能已经换过主人，旧域名的DNS记录早被清掉，但历史数据里还留着痕迹。判断时效性时，优先看最近30天内有解析记录的域名，那些才是当前真正指向该IP的“活”域名。