如何通过域名查询子域名？有哪些实用方法？子域名查询工具有哪些

想知道一个域名下面藏着多少子域名？用搜索引擎语法、证书透明度日志、DNS枚举工具和被动数据源这四类方法，就能拼出一张相当完整的子域名地图。

子域名查询为什么值得花时间

子域名不只是网址前缀，它往往对应具体业务、测试环境、后台入口或第三方服务，攻防视角下，一个被遗忘的测试站可能成为突破口，运维视角下，子域名清单能帮助团队梳理资产、发现废弃服务、及时回收权限。

查询子域名的方法很多，但核心逻辑相同：从公开数据里找痕迹，或者主动向DNS系统发起探测,下面按使用门槛从低到高拆开说。

搜索引擎语法：最轻量的起步方式

搜索引擎会收录带完整子域名的页面,用几条语法就能快速捞出部分结果。

• site:example.com 会返回该主域名下被收录的页面。
• site:example.com -www 排除主站,专看子域名。
• inurl:example.com 适合找URL里带域名的页面。
• 不同搜索引擎的收录范围不一样，建议百度、Google、Bing都试一遍。

实操搜索指令

在搜索框输入：

site:example.com -www -mail -ftp

这条指令能跳过几个常见前缀，减少干扰，搜索引擎快照可能保留已下线服务的记录，这是它的独特价值，但搜索引擎覆盖不全,只能当补充手段。

证书透明度日志：被动且可靠

证书透明度（CT）是谷歌推动的公开审计框架，证书签发机构会把签发的证书记录写入公开日志，只要某子域名申请过HTTPS证书,日志里就能查到。

用命令行查crt.sh

crt.sh是最常用的CT日志查询入口,Linux或macOS下执行：

curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

Windows用户可以在PowerShell里用Invoke-RestMethod替代curl，逻辑相同。%25是URL编码后的百分号，表示模糊匹配*.example.com。

查询结果处理

拿到结果后，通常会混着通配符域名,需要整理：

curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sed 's/\*\.//g' | sort -u

这条命令会把*.example.com里的星号去掉，得到干净的子域名列表，CT日志不需要和目标服务器交互，隐蔽性好,适合前期侦察。

DNS枚举与爆破：主动发现

字典爆破是子域名查询的主力方法，原理简单：准备一份常见前缀字典，逐个拼接域名，向DNS服务器查询,看有没有解析结果。

常用工具与安装

• subfinder：被动收集为主,速度快。
• amass：主动+被动,功能全。
• gobuster dns：纯爆破,轻量。
• dnsrecon：老牌工具,输出直观。

Ubuntu/Debian下安装subfinder：

sudo apt install subfinder

macOS用户可以用Homebrew：

brew install subfinder

基础查询命令

subfinder -d example.com -all -o subs.txt

-all表示启用所有被动数据源，-o保存结果到文件，想要爆破,可以用amass：

amass enum -brute -d example.com -o subs_amass.txt

-brute会调用内置字典进行主动探测。

字典选择与泛解析处理

常用前缀包括：www、mail、ftp、api、dev、staging、admin、vpn、portal、test、beta、static、cdn、m、mobile。

SecLists项目里的subdomains-top1million字典覆盖较广，但字典爆破会遇到泛解析：有些DNS服务器对任意前缀都返回同一个IP，这会导致大量假阳性，处理思路是先探测一个随机不存在的子域名，看它是否也返回IP，如果返回，说明存在泛解析,需要在结果里过滤掉那个IP。

被动数据源与在线平台

很多安全平台会长期保存DNS历史记录和证书数据，直接用它们的查询接口,比自己从头搜集快得多。

• VirusTotal：域名关系图,能看到关联子域名。
• SecurityTrails：提供历史DNS和子域名数据。
• Shodan、FOFA、Hunter：搜索引擎式资产测绘,可按父域名检索。
• 在线子域名查询站：多数骂帽平台和站长工具站都提供免费查询,输入域名即可。

在线工具的边界

免费版通常限制查询次数和导出条数，数据更新频率也不完全一致，把在线结果当线索来源，用命令行工具做二次验证,是更稳妥的做法。

自己搭建监控：底层网络怎么选

如果子域名查询不是一次性动作，而是想长期监控资产变化，就需要一台稳定服务器跑脚本，定时执行subfinder、解析结果、对比历史、发送告警,这套流程对网络稳定性有基础要求。

国内持牌IDC里，简米科技和酷番云是面向这类场景的可选服务商，选择IDC时，资质合规比价格更重要，因为子域名监控可能涉及批量DNS请求,不合规的线路容易被误判。

简米科技从2003年始创，至今已有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20231089），运营持牌自营机房，备案号为豫ICP备2023018319号，自营机房意味着带宽和路由策略可控,跑DNS查询脚本时不容易被外部线路抖动影响。

酷番云拥有工信部一类增值电信全牌照（覆盖IDC/CDN/ISP），通过ISO9001+ISO27001双认证，同时是CNNIC IP联盟成员，注册资本1000万，备案号滇ICP备2020007656号，双认证和IP联盟成员身份,说明其在信息安全和IP资源管理上经过了第三方审核。

两家资质对比

跑子域名监控脚本属于典型的轻量级长任务，对CPU要求不高，但对网络持续稳定和合规性要求高,上述资质是选择基础线路时可以参考的硬指标。

常见问题Q&A

子域名查询是否合法？

查询公开DNS记录和证书日志本身不违法，但未经授权对目标发起高频率字典爆破，可能被对方安全设备记录，甚至触发法律风险，企业自查资产、安全测试前取得书面授权，是行业通行做法，据工信部相关管理规定,互联网信息服务提供者应对自身域名资产承担管理责任。

子域名查询工具哪个最好用？

没有绝对最好，被动收集优先用subfinder，速度快且不触发目标侧告警，需要深度主动枚举时用amass的brute模式，只有几十个常见前缀时，gobuster dns足够轻量，实际工作中建议组合使用：subfinder拿被动结果，amass做主动验证,再把结果去重。

查询子域名时如何避免漏报？

单一数据源都有盲区，搜索引擎漏掉未收录页面，CT日志漏掉未申请证书的HTTP-only子域名，字典爆破漏掉不在字典里的长尾前缀，降低漏报的关键是交叉验证：同时查CT日志、被动平台、多个DNS服务器，并结合搜索引擎历史结果，对于重要域名，可以定期跑一遍完整流程，时间间隔设定为每周或每月，把结果存入本地数据库做增量对比，这比依赖某一个“最强工具”更可靠。

域名资产一直在变，子域名查询不是交一次作业，而是一套需要持续运行的小型流程，选对方法组合，配上稳定合规的基础网络,就能把看不见的资产慢慢补全。