域名泛解析

昨天半夜，域名隔壁老张给我打电话，泛解说他新买的域名域名www.zhanglaoban.com被人黑了——输入什么子域名都能打开他的网站，连随便敲个"fuck.zhanglaoban.com"都能看到首页。泛解我让他别慌，域名这不是泛解黑客，是域名域名解析面板上那个叫"泛解析"的开关被人打开了。

泛解析这玩意儿，泛解说白了就是域名一条通配符记录。你在DNS里加一条"*.zhanglaoban.com"指向服务器IP，泛解那么不管用户敲的域名是"abc.zhanglaoban.com"还是"xyz123.zhanglaoban.com"，全都给你解析到同一个地址。泛解就像你在大门口挂了个牌子："不管谁敲门，域名都给我领到客厅去。泛解"

这套路在正经场景下挺好用。域名我见过一个做SaaS的朋友，给每个客户分配独立子域名，后台就靠一条泛解析记录全搞定。省得客户每加一个团队就手动去加一条DNS记录，那得累死人。还有做CDN的、做多租户系统的，泛解析都是标配。

但问题就出在"不管谁敲门"这四个字上。域名一旦泛解析，等于把整个域名空间的所有可能子域名全暴露了。攻击者可以随便枚举你的子域名，找到一些你根本没想到会存在的内部系统。更恶心的是，如果哪天你忘了续费某个子域名对应的服务，或者服务器上某个目录权限没设好，黑客就能借助这个"万能钥匙"搞出各种幺蛾子。

前阵子有个案例特别典型。某电商平台把主域名做了泛解析，结果安全研究员在"test.payment.该平台.com"上发现了一个未授权的测试接口，直接能调取订单数据。你说冤不冤？这个test子域名根本不存在于任何官方文档里，纯粹是开发环境残留，但泛解析让这个"幽灵入口"变得可访问了。

所以我的建议一直很直白：除非你真的有动态生成子域名的需求，否则别开泛解析。你要是图省事，宁可多花十分钟配几条具体的A记录。那些说"泛解析能防止用户输错子域名"的论调更是扯淡——你指望用户记住你的子域名？他们连主域名都经常拼错。

回到老张那个事。我远程登录他的域名管理面板，看到"泛解析"那一栏确实被勾上了。问了一圈，是他上周找的"SEO优化公司"干的，说这样能让搜索引擎更快抓取他网站。我差点没把手机摔了——搜索引擎抓取跟泛解析有半毛钱关系？那帮人就是想省事，把你所有子域名指向同一个IP，回头他们做外链的时候随便编个子域名都能生效。

最后我帮他删了那条"*"记录，保留了www和@两条必要的A记录。老张问我："那以后用户敲错子域名咋办？"我说："敲错了就敲错了呗，404页面总比被人钻空子强。"