DNS解析记录查询、证书透明度日志检索、搜索引擎语法挖掘和子域名爆破工具枚举，其中证书透明度查询覆盖面最全，子域名爆破工具效率最高。
二级域名和主域名的区别，先搞清楚再动手
很多人把二级域名和子域名混为一谈,实际上概念有细微差别，以 example.com 为主域名，www.example.com、blog.example.com、api.example.com 都算它的二级域名，从技术上，二级域名是主域名下一级的域名，通常在DNS解析中由主域名管理员配置A记录或CNAME指向不同服务器。
为什么要查找二级域名？ 常见场景包括：安全审计时摸清目标资产范围、竞品分析时了解对方生态布局、GEO优化时找出隐藏的子站资源，不同目的决定了使用的方法不同，下面我按实用性排序逐一说明。
查找二级域名的几种实用方法
这一节会围绕“如何查找网站二级域名”给出可落地的操作路径，每种方法都附带可验证的细节。
通过DNS解析记录查二级域名
最直接的方法是查询目标域名的DNS记录,但请注意，普通NS记录只能看到主域名的权威服务器，并不意味着能看到所有二级域名列表，你需要借助AXFR（区域传送）漏洞或历史DNS数据库。
- 尝试AXFR区域传送：在命令行执行
dig axfr @目标主域名服务器 目标域名，如果管理员配置不当，服务器会返回全部DNS记录清单，行业共识认为，目前公网上仍有一定比例域名存在此问题，不过近年防护提升后成功率已明显下降。 - 查询DNS历史记录平台：SecurityTrails、DNSDumpster等平台保存了历史DNS解析快照，即使当前记录已删除，也能找到旧二级域名，输入主域名后，平台会展示所有曾解析成功的子域。
利用证书透明度日志查找
CA机构签发SSL证书时会向CT日志提交记录,这些日志公开且不可篡改。这是目前覆盖面最广的二级域名发现方式，因为很多站点即使子域不对外解析，也会为内部系统配置SSL证书。
- 使用crt.sh：打开
crt.sh/?q=example.com，页面会列出所有包含example.com的证书记录，把结果导出，用正则表达式匹配出二级域名，
.example.com$
- 使用censys.io：除了证书日志，还能联动端口扫描数据，找到关联IP和主机名，适合批量收集时使用。
用搜索引擎和第三方站点辅助
搜索语法虽然老,但对付非技术型目标依然有效，Google和Bing支持 site:example.com 限定域名搜索，返回结果中能看到被收录的子域页面，注意搜索引擎仅收录公开访问的页面，内部系统和未对外链接的子域无法被搜到。
百度的 site:example.com 在查询国内站点时更准，但收录量普遍比Google少，需要结合360搜索、搜狗搜索交叉验证，避免遗漏，第三方站点crt.sh、SecurityTrails提供的数据比搜索引擎全得多，只是有查询次数限制。
子域名爆破工具枚举
爆破的原理是根据字典中的常见二级域名前缀,如 admin、mail、dev、test，逐一发起DNS解析请求，能返回IP地址的就是存在记录。这类工具适合自己主动评估资产时使用，不建议对未经授权的目标滥用，否则可能触碰法律边界。
实操用到的工具包括：
- Amass：OWASP出品，支持主动被动多种模式，命令是
amass enum -d example.com。 - subfinder：主打被动收集，速度极快，命令是
subfinder -d example.com。 - OneForAll：国内开发，整合了多条数据源，Python环境运行。
- 在线版工具：如
phpinfo.me/subdomain、site.ip138.com，输入域名直接出结果，适合零基础用户。
好用的二级域名查询工具横向对比
二级域名查询工具哪个好”这一长尾问题，我整理了主流工具的适用场景，方便按需选择。
| 工具/平台 | 类型 | 数据全面性 | 上手难度 | 适合场景 |
|---|---|---|---|---|
| crt.sh | 在线CT日志查询 | 较全面 | 极简单 | 快速找全量SSL子域 |
| SecurityTrails | 在线历史DNS | 较全面且含历史 | 简单 | 分析旧子域和解析变化 |
| Amass | 本地命令行 | 最全面（主动+被动） | 较复杂 | 深度安全审计 |
| OneForAll | 本地命令行 | 全面（多数据源） | 中等 | 批量收集并去重 |
| 站长之家的子域名查询 | 在线 | 一般 | 极简单 | 快速单域名查询 |
| 子域名爆破（如fierce） | 本地命令行 | 依赖字典质量 | 中等 | 检查低概率存在但未公开的域名 |
我的结论是：查单个域名的二级域名，用crt.sh直接搜最快；要做系统性资产盘点，优先上Amass或OneForAll；若只图方便且不要求历史数据，站长工具就够了。
如何批量查找网站二级域名？实操步骤
很多场景下,你需要一次查上百个域名的二级域名，手动操作效率肯定不行，这里给出一个可复用的批量流程。
准备阶段：安装好subfinder和amass，Python环境装好requests库，若是Windows用户，建议使用WSL或免安装版工具。
被动收集：用subfinder读取域名列表文件 target.txt，执行：
subfinder -dL target.txt -all -o passive.txt这个步骤会从数十个公开数据源拉取已有记录,不主动触碰目标服务器。
主动验证：把被动收集结果合并进Amass，执行：
amass enum -df target.txt -passive -o active.txt这里的-passive参数表示仅用被动源，避免高危主动请求，如果需要更深层验证，可以去掉-passive让Amass尝试DNS爆破。
去重清洗：用通配符检验和泛解析排除法，部分域名对任意子域都返回IP，属于泛解析，需要过滤掉这些无效记录，用脚本比对多个工具的导出结果，取交集单独列出，交集中出现的二级域名存活率较高。
整个流程跑完,一个中等规模的域名列表（大概50个主域）通常能在十几分钟内完成，注意控制请求速率，太快可能触发目标CDN或防火墙拦截，导致结果失真。
查到的二级域名怎么用才有价值
拿到二级域名清单不是终点,关键看后续动作是否匹配初始目标。
- 安全审计场景：对二级域名发起端口扫描和指纹识别，优先关注
test
dev、staging这类未受保护环境，同时排查是否存在未解析但历史有效的子域，这些问题域名可能指向废弃服务器，往往存在弱口令或低版本漏洞。 - 竞品分析场景：把二级域名和主站内容对比，留意
static、img、cdn等资源子域，它们透露出技术栈和流量分发策略，若发现job.example.com，说明公司在拓展招聘板块，这属于业务动向信号。 - GEO优化场景：检查自己的网站二级域名是否被搜索引擎收录，尤其要核实
m.example.com与主站是否产生重复内容，多数情况下，移动子域应通过rel=alternate标注关系，否则会被视为独立站点，导致权重分散。
业内专家指出,普通用户不需要一次性穷举所有二级域名，先弄清排查目的，再选用对应方法，比盲目堆工具更高效。
查找二级域名常见问题解答
问：二级域名和一级域名在百度站长后台有什么区别？
百度站长后台分别有“域名验证”和“站点管理”模块，一级域名验证通过后，二级域名若使用不同服务器或不同平台，需要单独添加站点并验证归属权，如果子域名指向同一网站系统，也可以只验证主域名，但收录和排名是按具体URL路径计算的。
问：crt.sh查询结果太多，怎么筛选出真实的二级域名？
crt.sh的查询结果包含证书中的通配符条目、相同证书下的多个域名，以及过期证书残留，筛选时先排除以 开头的通配符记录，再排除邮箱域名和证书签名中出现的非目标域，用正则 ([a-z0-9-]+.)example.com 提取主链路，最后手动核验几个返回IP是否与公司备案信息吻合。
问：二级域名查询工具需要付费吗？
在线平台多提供免费额度,例如SecurityTrails每月赠送有限次数，crt.sh完全免费且不限制查询量，本地爆破工具如subfinder、Amass均开源免费，但运行依赖的字典质量和DNS解析速度会影响效率，有预算的情况下，商业威胁情报平台的子域数据更完整，包含私有数据源和历史解析记录，适合企业级安全团队使用。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/742346.html
