拿我自己举个例子。名网上周想查一个冷门子域名，址查试了五六个在线工具，名网结果不是址查要注册就是要付费，最后干脆用系统自带的名网nslookup硬啃，反倒把目标站点的址查三级、四级子域都给翻出来了。名网二级子域名的址查查询这事儿，说白了就是名网跟DNS服务器玩捉迷藏——你问它要A记录，它只给你看它想给的址查。

最直接的名网笨办法是字典爆破。拿一个现成的址查子域名词库，对着目标域名挨个试解析。名网比如你查example.com，址查就依次尝试mail.example.com、名网ftp.example.com、dev.example.com。每个词条丢给DNS服务器问一遍，能返回IP的就是活着的子域。这法子听着土，但效率不低，尤其对付那些没做泛解析的小站。我见过一个政府网站，光靠一个1000条的字典就挖出来十七个测试子域，其中一个还挂着未加密的管理后台。

搜索引擎和证书透明度日志是两条暗路。搜索引擎的site:语法能筛出被收录的子域，但漏网之鱼太多。真正有意思的是crt.sh这个网站，它把CA机构签发的SSL证书记录全扒下来做成数据库。你搜一个域名，能直接看到所有申请过证书的子域——包括那些已经删掉DNS解析的。有个做金融的客户，他们以为把旧子域解析删了就万事大吉，结果我通过证书日志翻出三个还在用的开发环境，其中一个连着生产数据库。

查到了子域，别急着高兴。先看它解析到的IP是不是独立地址，如果是，多半是台独立服务器，值得深入探测。如果跟主站同IP，就要考虑是不是同一台机器上的虚拟主机。这时候可以试试反向IP查询，看看这个IP上还跑了哪些域名——经常能顺藤摸瓜找出同一公司旗下的其他业务线。

有个坑得提醒你。很多站点现在做了泛解析，你随便敲个不存在的子域，DNS也能返回IP。这时候字典爆破的结果就全是假阳性。怎么辨别？拿返回的IP去访问一下，如果所有子域都弹出同一个页面，那基本就是泛解析在捣鬼。真正有效的子域往往返回不同的响应头或者跳转行为。

还有一类被动收集的技巧值得提。去Github上搜目标域名，常能翻到配置文件里写死的内部域名。用FOFA这类网络空间测绘工具也行，它们的主被动结合扫描能发现很多你根本猜不到的子域。上个月我帮朋友查他公司的资产暴露面，就是在FOFA上看到一个老旧的gitlab子域，居然用的是默认管理员密码。

说到底，二级子域查询不是一次性的活儿。DNS记录会变，新业务会不断上线，旧系统可能被遗忘在角落。隔三差五跑一遍字典，翻翻证书日志，看看搜索引擎收录的变化，才能让资产清单保持新鲜。那些藏着掖着的子域，往往就是安全链路上最松的那颗螺丝。