查询一个域名下的所有子域名，最有效的方式是组合使用证书透明度日志查询、暴力枚举和在线子域名查询平台三种手段，其中证书透明度（CT）日志查询是覆盖面最广、最值得优先采用的方法。
子域名本身不对外公开完整列表,这是很多人在信息收集或安全测试时卡壳的核心原因，互联网上不存在一个官方数据库能直接导出某个域名的全部子域名，但DNS记录、SSL证书签发记录、搜索引擎快照会留下大量痕迹，下面把这些痕迹逐一梳理清楚。
子域名查询网站哪个好用：主流在线平台实测对比
在线查询平台适合快速上手,不需要本地环境配置，打开浏览器就能干活，这类网站的数据来源各不相同，有的抓取证书日志，有的靠全网扫描积累数据，有的整合了被动DNS数据库，因此结果差异很大。
crt.sh：证书透明度日志的权威入口
crt.sh是社区公认最实用的子域名查询网站，它直接对Certificate Transparency日志做全文检索，任何机构给某个域名申请SSL证书时，证书的签发记录会被强制写入公开日志，子域名作为证书中的SAN字段一并暴露，这套机制天然无法规避，即使域名配置了通配符证书，历史签发记录也会留存。
访问crt.sh首页，在搜索框输入目标域名，不勾选任何选项直接点击搜索，结果页面会列出该域名的所有历史SSL证书签发记录，每一条记录下方的X509v3 Subject Alternative Name字段就是子域名列表，crt.sh支持使用%.example.com这样的通配符语法精确匹配二级子域名，也可以使用%.%.example.com匹配更深层级的子域名，查询结果可以用Ctrl+F在页面内筛选，也可以导出为文本复制到本地。
SecurityTrails与DNSDumpster：数据源的差异化补充
SecurityTrails的免费版提供每月50次查询额度,它的核心优势在于保留了多年份的DNS历史解析记录，能看到某个子域名曾经解析到哪个IP，这对判断子域名的使用场景很有价值。
DNSDumpster的交互界面做得直观,页面左侧直接展示DNS层级树状图，点击任意节点能看到A记录、MX记录、TXT记录等详细信息，适合对目标域名网络结构做可视化梳理，海外安全圈对DNSDumpster的评价是“数据量不如crt.sh，但展示形式对新手友好”。
| 平台名称 | 数据来源 | 免费额度 | 特色功能 |
|---|---|---|---|
| crt.sh | CT日志全量数据 | 无限制 | 通配符语法查询 |
| SecurityTrails | 被动DNS+Whois历史 | 每月50次 | 历史解析记录回溯 |
| DNSDumpster | 多源聚合 | 无限制 | DNS层级可视化拓扑 |
在线平台的结果不可全信，需要交叉验证
行业共识认为,单一平台能覆盖的子域名范围通常只有实际数量的三到五成，不同平台的数据来源各有侧重，交叉比对后做去重合并，才能接近真实的全貌，把三个平台的结果导出，用Excel的去重功能合并，能明显提升覆盖率。
子域名枚举工具推荐：从被动收集到主动爆破
在线网站只提供存量数据,遇到新上线的子域名往往来不及收录，本地工具可以主动向DNS服务器发起查询请求，补全在线平台查不到的记录。
被动收集工具：subfinder与amass的搭配使用
subfinder是目前使用率较高的被动子域名收集工具,它聚合了数十个公开数据源，包括证书日志平台、DNS数据库、威胁情报平台，安装方式简单，GitHub官方仓库提供了各平台的预编译二进制文件，下载解压即可运行。
subfinder -d example.com -all -o result.txt
-all参数启用全部数据源，-o参数指定输出文件，subfinder的查询不直接触碰目标域名服务器，风险极低，适合在信息收集阶段优先执行。
amass的被动模式与subfinder重合度较高,但它在数据源数量上略占优势，amass的安装依赖Go环境，对新手有一定门槛，常用的操作是amass enum -passive -d example.com，稍加熟悉后可以把amass排在subfinder之前执行，用更长的运行时间换取更全面的结果。
主动爆破工具：dnsx与oneforall的字典攻击
被动收集查不到的子域名,只能靠爆破撞出来，爆破的原理是拿着内置的常见子域名字典，逐个向DNS服务器发起解析请求，如果某个前缀名能解析出IP地址，说明这个子域名真实存在。
oneforall是中文社区活跃度较高的综合工具,它将子域名收集、爆破、端口探测整合在一条流水线中，适合一键化操作，运行python oneforall.py --target example.com run，工具会自动完成从收集到验证的全流程，输出结果以Excel表格呈现。
dnsx是更轻量的爆破工具,配合puredns使用效果更佳，puredns负责高速DNS解析，
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/627104.html
