说个真事，，，，，，，，上周有个做网络运维的伴侣跟我抱怨，，，，，，，，说在排查一个业务系统时，，，，，，，，发现主域名下挂了好几十个二级域名，，，，，，，，有些是测试环境，，，，，，，，有些是一时页面，，，，，，，，甚至还有几个已经失效没人管的。。。。。他想急剧弄清这些子域名的归属和状态，，，，，，，，了局手动一个个敲，，，，，，，，折腾了大半天。。。。。

这其实就是典型的二级域名查问场景。。。。。好多人面对yw127777·coon这类域名，，，，，，，，第一反映是直接接见，，，，，，，，但真正高效的做法，，，，，，，，是先把它的二级域名结构摸明显。。。。。今天就把我常用的三招实操步骤放这里，，，，，，，，单一向接，，，，，，，，照着做就行。。。。。

先从最单一的思路说起，，，，，，，，利用搜索引擎的站点语法。。。。。

在百度或者必应里输入 `site:yw127777·coon`，，，，，，，，这串指令的意思是让搜索引擎只返回这个域名下的收录页面。。。。。固然它不会百分之百列出所有二级域名，，，，，，，，但对于那些有内容、被收录的子域，，，，，，，，根基都能露出出来。。。。。? 这个步骤的利益是零门槛，，，，，，，，不用装任何工具，，，，，，，，弊端就是覆盖面有限，，，，，，，，没被收录的子域查不到。。。。。

若是你想要更全的了局，，，，，，，，就得用子域名爆破的思路。。。。。

这一步必要用到一些在线工具或者本地剧本。。。。。像常见的Subfinder、Layer子域名挖掘机，，，，，，，，甚至是在线的DNSdumpster、HackerTarget，，，，，，，，只有输入主域名，，，，，，，，它们会通过字典枚举、证书通明度日志、DNS汗青纪录等渠路，，，，，，，，把能翻到的二级域名都给你列出来。。。。。? 我第一次用这个方式查一个指标时，，，，，，，，直接翻出来二三十个之前齐全没见过的子域，，，，，，，，那种感触就跟开盲盒一样。。。。。

这里有个关键技巧，，，，，，，，查问的时辰不要只看状态码，，，，，，，，还要注意解析IP。。。。。你会发现有些二级域名底子打不开，，，，，，，，但DNS解析纪录还在，，，，，，，，这注明它可能只是停用了，，，，，，，，服务器配置还没删。。。。。这种情况你要沉点记下来，，，，，，，，由于往往就是这类“僵尸子域”最容易出问题。。。。。

说到这，，，，，，，，天然要提一下查问了局怎么筛选和利用。。。。。

拿到一长串二级域名后，，，，，，，，别急着挨个点开。。。。。吓酌批量HTTP状态码检测工具跑一遍，，，，，，，，分辨出200正常、301跳转、403不容、404不存在的几类。。。。。? 正常接见的优先看，，，，，，，，跳转的看指标地址，，，，，，，，404的直接忽略。。。。。我习惯把了局导出成表格，，，，，，，，按域名、解析IP、状态码、标题、响应功夫排序，，，，，，，，了如指掌。。。。。

最后再分享一个不算技巧但很好使的思路，，，，，，，，就是询问DNS服务器。。。。。

用nslookup或者dig号令，，，，，，，，直接查指标域名的NS纪录，，，，，，，，找到它的权威DNS服务器。。。。。而后在查问时明确指定用这台服务器来解析 `yw127777·coon` 下面的可能子域。。。。。由于权威DNS服务器把握的纪录通常比公共缓存服务器更新更全，，，，，，，，有时辰能查到一些还没被宽泛传布的子域信息。。。。。

举个例子，，，，，，，，你能够用 `nslookup -type=any test.yw127777·coon 8.8.8.8` 去试探，，，，，，，，固然这样很碰命运，，，，，，，，但共同字典工具，，，，，，，，射中率会提升不少。。。。。? 这种手动和工具结合的方式，，，，，，，，才真正考验你对域名解析道理的理解。。。。。

这三招下来，，，，，，，，yw127777·coon二级域名查问这件事根基就透透了。。。。。

工具能自动挖，，，，，，，，人脑得会判断。。。。。拿到子域名列表只是第一步，，，，，，，，怎么分辨哪个是主题业务、哪个是边缘系统，，，，，，，，这就是经验的活儿了。。。。。你对这个域名的查问有具体的指标吗，，，，，，，，还是纯正想系统把握步骤？？？？？