查询二级域名最直接的方式是用在线证书透明日志工具配合搜索引擎指令，无需安装软件也能拿到相当一部分结果；如果要批量枚举，命令行工具配合字典爆破更彻底。
二级域名通常指挂在主域名下的独立子站,news.example.com 里的 news，而不是 example.com/news 这种路径，搞清楚这一点再往下走，能少踩很多坑。
先分清查询对象：二级域名和子域名有什么区别
很多人会把“二级域名”和“子域名”混着用，实际操作里这俩确实有重叠，但精确区分对查询范围有帮助。
- 二级域名：在域名层级里，
example.com是一级域名，news.example.com就是二级域名。www也算二级域名。 - 子域名：泛指主域名下的所有下级域名，包括二级、三级甚至更多级。
api.news.example.com就是三级域名，也属于子域名范畴。
行业共识认为,日常说的“查二级域名”多数情况下指枚举某个主域名下的所有下级域名，而不是只卡在第二层，所以工具和方法都按“子域名枚举”来理解就对了。
查询二级域名用什么工具效率最高
工具选择取决于你的场景：只想快速确认某公司有哪些二级域名，还是需要做全面资产梳理，三种主流方案各有适用边界。
免费在线子域名查询工具：适合零基础快速验证
这类工具不用装环境,打开网页输入主域名就能出结果，尤其适合刚接触的人。
- crt.sh：证书透明日志查询，输入
%.example.com可以直接看到历史上签发过SSL证书的所有子域名，数据来自公开证书日志，权威性高，但可能遗漏未启用HTTPS的子域名。 - DNSDumpster：整合DNS记录、证书信息、搜索引擎结果的在线工具，可视化结果直观。
- VirusTotal：在搜索栏输入主域名，可以查看该域名关联的子域名和解析IP，同时附带安全引擎检测结果。
在线工具的优点是不用配置,缺点是数据更新频率和覆盖范围有限，如果目标域名历史较长，证书日志往往能挖出不少已经下线的旧二级域名。
命令行工具：适合批量枚举与深度扫描
想要更彻底的结果,命令行工具配合字典爆破是目前主流做法，你需要一台能联网的电脑，装好Python或Go环境。
- Amass：OWASP维护的开源工具，支持主动枚举和被动收集，内置多种数据源，基础命令
amass enum -d example.com就能启动，耗时较长但结果全面。 - Sublist3r：老牌Python工具，整合搜索引擎和证书日志，命令
sublist3r -d example.com运行简单，适合快速获取常见二级域名。 - Fierce：轻量级DNS枚举工具，适合在内网或DNS配置薄弱的环境下使用，命令
fierce --domain example.com。 - dnsrecon：支持多种DNS记录查询和区域传送测试，命令
dnsrecon -d example.com -t std可以执行标准枚举。
命令行工具的学习成本比在线工具高,但胜在灵活，可以自定义字典，你可以在GitHub上找到常见子域名字典，比如包含 mail、dev、api、test 这些高频前缀的列表。
搜索引擎指令：不依赖任何工具的零成本方案
搜索引擎本身就是一个天然的二级域名索引,在百度或Google输入特定指令，能快速筛出已被收录的二级域名。
site:example.com -www：列出所有被搜索引擎收录的 example.com 页面，排除常见 www 前缀。site:example.com inurl:login：查找带登录页面的二级域名，适合安全测试场景。”example.com”`：查找标题中包含主域名的页面，可能关联到独立子站。
这种方法完全免费,但结果受搜索引擎收录策略影响，未被爬取或禁止收录的二级域名不会出现。
五个实操步骤：从零开始查二级域名
不管你选什么工具,流程大致相同，下面这套步骤适合多数场景，尤其是企业资产梳理或个人安全审计。
确定主域名与目标范围
先明确你要查的主域名,example.com，不要带 www 或协议头，如果目标有多个主域名，比如一家公司同时拥有 example.com 和 example.cn，需要分别查询。
同时想清楚查询目的：是为了安全测试找暴露面，还是为了竞品分析看业务布局，目的不同，后续工具参数会有调整。
选择工具并配置参数
根据前面的工具对比,挑一个适合你技术水平的方案。
- 零基础：直接用 crt.sh 或 DNSDumpster，打开网页输入主域名即可。
- 有一定技术基础：安装 Amass 或 Sublist3r，准备一份子域名字典。
- 只想快速验证：用搜索引擎
site:指令，三分钟出初步结果。
如果使用命令行工具,建议先更新工具到最新版本，因为数据源接口经常变动，旧版本可能失效。
运行查询与导出结果
在线工具一般有导出按钮,可以把结果保存为CSV或TXT，命令行工具可以通过重定向保存：
amass enum -d example.com -o results.txt这一步要注意,查询过程可能持续几分钟到几十分钟，取决于目标域名规模和网络状况，不要中途关闭终端，否则可能丢失已收集的部分结果。
去重与验证存活
查询得到的二级域名列表往往包含重复项和过期记录,你需要做两件事：
- 去重：用
sort -u results.txt命令，或把结果粘到Excel里去重。 - 验证存活：用
httprobe或curl批量测试哪些域名还能访问，命令示例：cat results.txt | httprobe，会输出带http://或https://的存活地址。
这一步能过滤掉大量废弃二级域名,留下真正有用的资产。
分析结果与安全确认
拿到存活二级域名后,按业务功能分类，api 开头的一般是接口服务，admin 开头的是管理后台，dev 或 test 开头的是开发测试环境。
业内专家指出,开发测试环境往往是企业安全防护的薄弱点，因为这些二级域名可能未接入生产环境的监控体系，如果是自己公司的资产，建议重点核查这类域名的访问控制和配置。
免费子域名查询工具与付费方案怎么选
很多人纠结要不要花钱买付费服务,其实多数场景下免费工具已经够用，付费工具的价值主要体现在历史数据完整性和API自动化能力上。
| 对比维度 | 免费工具/命令行 | 付费平台 |
|---|---|---|
| 数据覆盖 | 证书日志、搜索引擎、公开DNS记录 | 增加历史被动DNS、全球节点探测 |
| 查询速度 | 较慢，尤其命令行大规模枚举 | 快，云端并发查询 |
| 自动化程度 | 需要手动配置脚本 | 提供API接口，可集成到现有系统 |
| 适合场景 | 个人学习、单次资产梳理 | 企业持续监控、攻防演练频繁使用 |
| 价格 | 免费 | 一般按月订阅，价格因平台而异 |
如果你只是偶尔查一查,完全没必要付费，如果要做长期安全监控，付费平台的API接口能省下大量重复劳动。
国内场景下查询二级域名要留意备案问题
域名解析到中国内地服务器需要完成ICP备案,查询二级域名时，这个规则会影响结果。
- 已备案的二级域名：可以通过工信部备案系统公开查询到主体信息，这类域名通常解析正常。
- 未备案或使用海外服务器的二级域名：可能无法从国内网络直接访问，但证书日志和被动DNS数据源仍可能记录到它们的存在。
如果查询目标是国内企业,建议同时结合备案信息和证书日志，避免只依赖单一数据源造成遗漏，据工信部公开数据，国内相当一部分企业级域名会为核心业务配置独立二级域名，m.example.com 或 api.example.com。
查二级域名这件事，方法比工具更重要
工具会更新换代,但底层思路不变：先从公开数据源低成本收集，再用爆破手段补充，最后验证存活并分类，把这个流程跑通，用哪个工具都不会太差。
Q&A：查询二级域名常见问题
二级域名查询在线工具安全吗？
多数主流在线工具只收集公开的DNS记录和证书日志,不会攻击目标服务器，使用过程本身安全，但你要注意不要在不可信的第三方网站输入企业核心域名，防止被记录后用于针对性钓鱼。
子域名查询工具哪个好用？
入门选 crt.sh，无技术门槛且数据权威；进阶用 Amass，覆盖全面且支持主动枚举，如果只要快速看个大概，搜索引擎 site: 指令是最省事的办法。
如何查询某公司全部二级域名？
先确定该公司的主域名,然后在 crt.sh 输入 %.主域名 获取证书记录，再用 Sublist3r 或 Amass 执行字典枚举，最后用 httprobe 验证存活，这个过程会把该公司已公开的多数二级域名挖掘出来，但无法保证百分之百覆盖，因为企业可能使用未公开的内部域名。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/636711.html
