如何查询所有子域名？有哪些免费方法？

查询所有子域名的核心方法与实用工具

在网络安全、渗透测试或业务管理中，查询所有子域名是一项基础且关键的任务，子域名的发现可以帮助管理员了解资产暴露面，评估潜在风险，或优化业务架构，本文将系统介绍查询子域名的核心方法、常用工具及注意事项，为不同需求提供实用指导。

主动枚举：基于字典与爆破的发现

主动枚举是通过生成可能的子域名列表并逐一验证其存在性的方法,适用于需要全面覆盖的场景，其核心在于字典的质量和爆破策略的优化。

字典构建
字典是主动枚举的基础，高质量的字典应包含常见子域名前缀（如www、mail、api）、数字组合（如dev01、test2023）、业务相关词汇（如企业名称、产品线）以及常见拼写错误，针对目标“example.com”，可构建包含“admin.example.com”“blog.example.com”“123.example.com”等条目的字典，公开字典资源如SecLists、Sublist3r的内置字典可直接使用，也可根据业务定制。

工具选择与执行

• Sublist3r：一款轻量级子域名枚举工具，整合了Google、Bing等搜索引擎，以及Certificate Transparency（证书透明度）日志查询，命令示例：python sublist3r.py -d example.com，结果简洁直观，适合快速初筛。
• Amass：功能强大的资产发现工具，支持主动爆破、被动收集等多种模式，其字典库丰富，且可集成DNS解析器、证书透明度数据源。amass enum -passive -d example.com，适合深度枚举。
• OneForAll：Python开发的子域名扫描工具，支持多线程、多源（搜索引擎、证书透明度、DNSdumpster等）并发查询，结果可导出为CSV或TXT，适合大规模资产盘点。

被动收集：基于公开信息的挖掘

被动收集不直接向目标域名发送请求,而是通过分析公开数据中的子域名痕迹，隐蔽性高且不易触发反爬机制，适合合规性要求高的场景。

搜索引擎与证书透明度

• 搜索引擎：利用Google、Bing等高级语法（如site:example.com、inurl:sub.example.com）可检索被公开索引的子域名。site:*.example.com -www 可排除www子域名，聚焦其他资产。
• 证书透明度（CT）日志：SSL证书颁发时，域名信息会公开至CT日志平台（如Crt.sh、Google Trust Store），通过查询example.com的证书记录，可发现大量关联子域名，在Crt.sh中搜索%.example.com，即可获取所有使用该证书的子域名列表。

公开数据源与在线平台

• SecurityTrails：提供历史DNS记录、WHOIS信息及子域名监控功能，免费版可查询有限数量的子域名。
• VirusTotal：通过上传或输入域名，聚合多家安全引擎的检测结果，发现关联子域名。
• DNSdumpster：在线DNS图谱工具，通过绘制DNS记录可视化子域名关系，适合快速可视化分析。

技术进阶：协议与漏洞辅助发现

在基础方法之上,利用网络协议特性或漏洞可进一步提升子域名发现的深度和效率。

DNS区域传输漏洞
DNS区域传输（AXFR）允许授权服务器将整个DNS区域数据传输至客户端，若目标服务器配置不当（未限制传输IP），可直接获取完整的子域名列表，使用dig axfr example.com @ns1.example.com或dnsrecon -d example.com -axfr可尝试利用该漏洞。

子域名接管（Subdomain Takeover）检测
子域名指向已失效的服务（如未续费的GitHub Pages、被删除的CloudFront资源）时，可能被恶意利用，通过工具如subjack或subzy，可批量检测子域名是否指向可接管的服务，subjack -w domains.txt -t 50，其中domains.txt为待检测子域名列表。

暴力破解与递归查询
结合字典暴力破解与DNS递归查询（如AXFR、DNS wildcard绕过），可发现隐藏的子域名，使用ffuf工具：ffuf -w subnames.txt -u https://FUZZ.example.com -t 100，通过HTTP响应状态码或错误信息判断子域名是否存在。

自动化与批量处理工具

面对大规模资产盘点,手动操作效率低下，需借助自动化工具提升效率。

Subfinder
一款专注于速度和准确性的子域名枚举工具，支持20+数据源（包括搜索引擎、证书透明度、DNS解析器），命令示例：subfinder -d example.com -o results.txt，结果可直接输出至文件。

Massdns
高性能DNS解析工具，支持批量解析和结果过滤，通过配合字典使用，可快速验证子域名存在性。cat subdomains.txt | massdns -r resolvers.txt -t A -o S | grep example.com，其中resolvers.txt为DNS解析器列表。

自定义脚本
对于特殊需求，可编写Python脚本整合多种数据源，使用requests库调用搜索引擎API，结合dnspython解析DNS，实现定制化子域名发现流程。

注意事项与最佳实践

1. 合规性优先：确保子域名发现行为符合目标网站的《服务条款》及当地法律法规，避免未经授权的扫描。
2. 结果验证：通过DNS解析、HTTP请求（如访问http://sub.example.com）或SSL证书验证，排除误报（如泛域名解析导致的虚假子域名）。
3. 定期更新：域名资产动态变化，需定期（如每周）重新扫描，确保信息时效性。
4. 数据管理：使用数据库（如MySQL、MongoDB）存储子域名信息，关联IP、端口、备案号等数据，便于后续分析。

查询所有子域名是资产安全管理的基石,需结合主动枚举、被动收集及技术进阶等多种方法，从基础的工具（如Sublist3r）到高级的协议利用（如DNS区域传输），再到自动化工具（如Subfinder、Massdns），可根据需求灵活选择，合规性与结果验证是确保发现过程有效且安全的关键，通过系统化的子域名管理，可全面掌握资产暴露面，为后续的安全加固与业务优化提供坚实基础。