域名检测这件事，网站很多人以为就是域名查查whois。错了。检测真正要看的网站，是域名域名背后那套东西——DNS记录、SSL证书、检测历史解析、网站黑名单状态。域名我上周帮朋友看一个站，检测域名注册了六年，网站whois信息干干净净，域名结果一查DNS，检测A记录指向的网站IP上挂了四百多个垃圾站。这种域名，域名买回来就是检测接盘。

先说最基础的，whois查询。这玩意儿谁都会用，但信息量比你想的大。注册时间太短的要警惕，比如三个月内注册的，大概率有问题。注册商也得看，某些小作坊注册商专门给灰产开绿灯。我见过一个域名，注册邮箱是temp@mailinator.com，这种一次性邮箱，直接扔。还有个细节，whois里的“更新时间”比“注册时间”更值得盯。一个域名如果频繁更新whois，要么是刚过户，要么是注册人在躲什么东西。

DNS记录才是重头戏。A记录指向哪里？CNAME有没有套CDN？MX记录用的是不是企业邮箱？我习惯先看NS记录。如果NS指向的是dns1.hichina.com这种，正常。要是指向某个不知名的DNS服务商，比如ns1.badhost.cn，心里就得打个问号。再查A记录，把IP丢进威胁情报平台跑一遍。有个案例，一个卖茶叶的站，A记录指向的IP在俄罗斯，同IP上还有三个博彩站。这种“邻居”环境，搜索引擎不降权才怪。

SSL证书是个容易被忽略的检测点。自签证书的站，要么是内部测试，要么是钓鱼。证书里的域名列表也得看，一张证书里塞了二十个不相关域名的，大概率是批量生成的垃圾站群。我见过一张证书，SAN列表里有www.abc.com、www.abc.cn、abc.net、abc.org，还有一堆乱码域名。这种就是典型的站群操作，买一个域名送一堆。

历史解析记录怎么查？用SecurityTrails或者ViewDNS。一个域名如果过去五年换过十几个IP，而且IP分布在美国、香港、俄罗斯、荷兰，这种“环球旅行”的域名，要么是CDN，要么是黑产在跑路。有个技巧，看历史A记录里有没有出现过127.0.0.1或者0.0.0.0。有的话，说明这域名曾经被用来做本地劫持或者DNS污染。

黑名单检测不用多说了，Google Safe Browsing、Spamhaus、SURBL，挨个跑一遍。但别只看结果。有个域名在Spamhaus的SBL列表里，原因是“发送垃圾邮件”。你以为是邮件服务器的问题？查下去发现，这域名的MX记录指向一个已经被废弃的邮件网关，但DNS里还留着记录。这种“僵尸MX”最坑人，邮件发不出去，还拖累域名信誉。

还有个野路子，查域名的C段。比如www.example.com的IP是1.2.3.4，那就看看1.2.3.0/24这个段里还有哪些域名。如果这个段里全是xxx-porn.com、cheap-pills.net，那你这域名就算再干净，也好不到哪去。我试过一次，一个企业官网的IP段里，居然藏着三个色情站。问客户，客户说“我们买的虚拟主机”。虚拟主机就是共享IP，邻居不干净，你也跟着倒霉。

检测工具推荐几个：intoDNS看DNS配置，MXToolbox查黑名单和邮件配置，crt.sh查证书透明度日志。别用那些一键检测的“站长工具”，数据太旧，而且经常漏报。手动查虽然慢，但能看到细节。比如crt.sh里，一个域名如果突然在某个时间点冒出来几十张证书，那大概率是被批量注册了子域名做垃圾站。

最后说个真事。上个月有个客户想买一个老域名，价格不贵，三千块。我帮他查了一遍，whois显示注册于2010年，看着挺靠谱。但DNS历史记录里，2018年到2020年，这域名的A记录指向一个被标记为“恶意软件分发”的IP。再查证书，2021年有一张证书的SAN列表里包含login-paypal-secure.com。这域名以前是搞钓鱼的。客户听完，直接放弃。三千块买个定时炸弹，不值。

域名检测不是玄学，就是一层层剥开看。whois、DNS、SSL、历史、黑名单，五个维度交叉验证。别偷懒，别只看表面。一个域名干不干净，数据不会骗人。