子域名挖掘工具

发表于 2026-10-17 02:24:14 来源：烟消火灭网

子域名挖掘，域名说白了就是挖掘在一个主域名底下翻出所有隐藏的二级、三级域名。工具这活儿我干了五年，域名最深的挖掘体会是——它不像网上教程吹得那么玄乎，但也没简单到一条命令跑完就收工。工具真正让我意识到这工具价值的域名，是挖掘一次红队项目。客户是工具一家银行，防护做得跟铁桶似的域名，主站连个端口扫描都触发告警。挖掘我们绕了两天没进展，工具最后我随手用子域名挖掘工具扫了扫`bank-example.com`，域名结果翻出一个`test.bank-example.com`，挖掘解析到一台阿里云的工具ECS上，跑着个没打补丁的Jenkins。进去之后横向移动，三天拿下核心数据库。你说这工具牛吗？牛。但它牛在哪儿？牛在它把攻击面从一堵墙变成了一百扇窗。现在的子域名挖掘工具，大体分三条路子。第一条是暴力枚举，拿字典硬碰硬地猜子域名，像`admin.`、`dev.`、`mail.`这种常见前缀挨个试。第二条是搜索引擎和证书透明度日志，比如用`crt.sh`拉取SSL证书里记录的域名，这招对上了CDN的站点特别有效，因为证书会暴露源站。第三条是DNS历史解析记录，有些子域名早就删了DNS记录，但老数据里还留着IP，直接连过去可能就是个忘了下线的内网系统。我个人最常用的是`subfinder`加`amass`的组合，前者跑得快，适合日常巡检，后者慢但全，适合攻防演练前的深度测绘。有个细节很多人忽略——工具跑完不代表完事，得手动验证。很多子域名是泛解析，你随便猜一个不存在的名字也能解析出IP，这时候就得靠对比响应内容或者SSL证书来筛掉假阳性。我见过不少新手拿着工具输出就直接交报告，结果一半是无效资产，被客户当场打脸。还有个坑是子域名接管。有些子域名指向第三方服务，比如GitHub Pages或者S3存储桶，但服务被删了，域名还留着CNAME记录。这时候如果你能注册那个被释放的资源，就等于直接控制了那个子域名。这活儿工具帮不上忙，得靠人工判断——但前提是工具先把这些“疑似托管到第三方”的子域名标出来，不然你根本不会注意到它们。说回工具本身，现在市面上开源的一大堆，闭源的也卷得厉害。但工具只是起点，真正的功力在于怎么组合它们。我习惯先跑被动收集，等结果稳定了再上主动爆破，中间穿插证书透明度查询。整个流程跑完，通常能挖到主域名下三到五倍于公开已知的子域名数量。有一次挖到个`staging.bank-example.com`，上面部署的是生产环境的副本数据库，里面几万条真实客户信息明文躺着。那一刻我真心觉得，这工具不光是给黑客用的，甲方自己更得用——知道自己家有多少扇没锁的门，比啥都重要。最后提醒一句，别指望工具能自动告诉你“这个子域名有漏洞”。它只能告诉你“这里有个入口”，至于门后面是宝藏还是陷阱，还得靠你亲自走一遭。工具是铲子，挖不挖得出金子，看你往哪儿下铲。

喜欢73 讨厌76

随机为您推荐

热门文章

文章排行