子域名探测方法大全<\/h1>

为什么要进行子域名探测？<\/h2>

子域名探测是渗透测试和信息收集的关键环节，具有以下重要意义：<\/p>

扩大攻击面<\/strong>：发现更多服务，增加发现漏洞的可能性<\/li>
寻找被遗忘的系统<\/strong>：较少访问的子域名可能运行着存在关键漏洞的旧版应用<\/li>
发现重复漏洞<\/strong>：同一组织的不同域名\/应用中可能存在相同漏洞<\/li>

定位关键资产<\/strong>：子域名中常包含办公系统、邮箱系统、论坛、商城和管理后台等重要资产<\/li> <\/ol>
子域名探测方法分类<\/h2>
1. 在线接口查询<\/h3>
利用公开的在线服务快速获取子域名信息：<\/p>
https:\/\/crt.sh\/ https:\/\/censys.io\/ https:\/\/transparencyreport.google.com\/https\/certificates https:\/\/dnsdumpster.com\/ https:\/\/hackertarget.com\/find-dns-host-records\/ https:\/\/x.threatbook.cn\/ https:\/\/www.virustotal.com\/gui\/home\/search https:\/\/phpinfo.me\/domain\/ https:\/\/site.ip138.com\/baidu.com\/domain.htm https:\/\/www.t1h2ua.cn\/tools\/ http:\/\/tool.chinaz.com\/subdomain\/ https:\/\/spyse.com\/site\/not-found?q=domain%3A%22github%22&criteria=cert <\/code><\/pre> 2. 暴力枚举技术<\/h3> 工具推荐：<\/h4> Layer子域名爆破机<\/strong>：<\/p> Windows平台工具<\/li> 使用子域名字典进行爆破<\/li> 简单易用<\/li> <\/ul> <\/li> Amass<\/strong>：<\/p> 功能：爆破、Google搜索、VirusTotal查询、备用名称收集<\/li> 安装：go get -u github.com\/OWASP\/Amass\/...<\/code><\/li> 使用：amass -d target.com -o $outfile<\/code><\/li> <\/ul> <\/li> Knock<\/strong>：<\/p> 功能：AXFR查询、VirusTotal查询、爆破<\/li> 安装： apt-get install python-dnspython git clone https:\/\/xxx.com\/guelfoweb\/knock.git cd knock python setup.py install <\/code><\/pre> <\/li> <\/ul> <\/li> <\/ol> 3. 搜索引擎技术<\/h3> Google搜索技巧：<\/h4> site:target.com<\/code> - 查找目标域所有子域名<\/li> intitle=公司名称<\/code> - 查找特定公司网站<\/li> site:*.wikimedia.org -www -store -jobs -uk<\/code> - 排除特定子域名<\/li> <\/ul> 其他搜索引擎：<\/h4> Bing<\/strong>：site:target.com<\/code><\/li> 百度<\/strong>：intitle=公司名称<\/code><\/li> 钟馗之眼<\/strong>：site=域名<\/code><\/li> FOFA<\/strong>：domain="baidu.com"<\/code><\/li> <\/ul> 4. 证书透明(Certificate Transparency)技术<\/h3> SSL\/TLS证书通常包含域名、子域名和邮件地址，可通过以下方式查询：<\/p> 在线查询：<\/h4> https:\/\/crt.sh\/ https:\/\/censys.io\/ https:\/\/developers.facebook.com\/tools\/ct\/ https:\/\/google.com\/transparencyreport\/https\/ct\/ https:\/\/transparencyreport.google.com\/https\/certificates <\/code><\/pre> 工具推荐：<\/h4> CTFR<\/strong>：<\/p> 滥用证书透明记录<\/li> 使用： git clone https:\/\/xxx.com\/UnaPibaGeek\/ctfr.git cd ctfr pip3 install -r requirements.txt python3 ctfr.py -d target.com -o $outfile <\/code><\/pre> <\/li> <\/ul> <\/li> Censys_subdomain_enum.py<\/strong>：<\/p> 从Censys的SSL\/TLS证书中收集子域名<\/li> 安装：pip install censys<\/code><\/li> 使用：python censys_enumeration.py target.com<\/code><\/li> <\/ul> <\/li> <\/ol> 5. 主题备用名称(SAN)技术<\/h3> SAN证书允许在安全证书中使用subjectAltName字段关联多个域名。<\/p> 工具<\/strong>：san_subdomain_enum.py<\/code><\/p> git clone https:\/\/xxx.com\/appsecco\/the-art-of-subdomain-enumeration.git .\/san_subdomain_enum.py target.com <\/code><\/pre> 6. 公开数据集查询<\/h3> 利用互联网扫描数据集获取子域名信息：<\/p> Rapid7 Forward DNS dataset (Project Sonar)<\/strong>：<\/p> 数据来源：https:\/\/scans.io\/data\/rapid7\/sonar.fdns_v2\/<\/li> 解析命令： curl -silent https:\/\/scans.io\/data\/rapid7\/sonar.fdns_v2\/20170417-fdns.json.gz | pigz -dc | grep ".icann.org" | jq <\/code><\/pre> <\/li> <\/ul> <\/li> 其他数据源<\/strong>：<\/p> https:\/\/scans.io\/study\/sonar.rdns_v2<\/li> https:\/\/opendata.rapid7.com\/<\/li> <\/ul> <\/li> <\/ol> 7. 信息泄露利用<\/h3> 常见信息泄露点：<\/h4> 官网底部信息<\/li> 文件泄漏： crossdomain.xml(跨域策略文件cdx)<\/li> robots.txt<\/li> Git仓库泄露<\/li> <\/ul> <\/li> 流量分析<\/li> <\/ul> 8. 内容解析技术<\/h3> 从HTML、JavaScript和文件中提取子域名：<\/p> BiLE-suite<\/strong>：<\/p> HTML解析和反向DNS解析<\/li> 安装： aptitude install httrack git clone https:\/\/xxx.com\/sensepost\/BiLE-suite.git perl BiLE.pl target.com <\/code><\/pre> <\/li> <\/ul> <\/li> Second Order<\/strong>：<\/p> 第二阶段域名扫描<\/li> 安装： go get xxx.com\/mhmdiaa\/second-order second-order -base https:\/\/target.com -config config.json -output target.com <\/code><\/pre> <\/li> <\/ul> <\/li> <\/ol> 9. DNS解析技术<\/h3> 在线查询：<\/h4> VirusTotal(https:\/\/www.virustotal.com\/)<\/li> ViewDNS(https:\/\/viewdns.info\/)<\/li> DNSdumpster(https:\/\/dnsdumpster.com\/)<\/li> Threatcrowd(https:\/\/www.threatcrowd.org\/)<\/li> <\/ul> 工具推荐：<\/h4> Massdns<\/strong>：<\/p> 高性能DNS解析<\/li> 安装： git clone https:\/\/xxx.com\/blechschmidt\/massdns.git cd massdns\/ make <\/code><\/pre> <\/li> 使用： # 解析域名 \/bin\/massdns -r lists\/resolvers.txt -t AAAA -w results.txt domains.txt -o S -w output.txt # 爆破域名 .\/scripts\/subbrute.py wordlist.txt target.com | .\/bin\/massdns -r lists\/resolvers.txt -t A -o S -w output.txt # CT解析 .\/scripts\/ct.py target.com | .\/bin\/massdns -r lists\/resolvers.txt -t A -o S -w output.txt <\/code><\/pre> <\/li> <\/ul> 10. 区域传送技术<\/h3> 域传送漏洞可获取DNS服务器的全部域文件副本。<\/p> Windows方法：<\/h4> nslookup server [DNS服务器] ls [目标域名] <\/code><\/pre> Linux方法：<\/h4> dig +multi AXFR target.com dig +multi AXFR $ns_server target.com <\/code><\/pre> 11. DNS缓存侦测技术<\/h3> 通过检查DNS服务器缓存判断域名是否被访问过。<\/p> 12. DNSSEC区域漫步技术<\/h3> 利用DNSSEC处理不存在域名的方式遍历整个域。<\/p> 工具<\/strong>：ldns-walk<\/code><\/p> aptitude install ldnsutils ldns-walk target.com ldns-walk @nsserver.com target.com <\/code><\/pre> 13. CSP HTTP首部分析<\/h3> 从内容安全策略(CSP)头中提取子域名。<\/p> 工具<\/strong>：domains-from-csp<\/code><\/p> git clone https:\/\/xxx.com\/yamakira\/domains-from-csp.git pip install click python csp_parser.py $URL python csp_parser.py $URL -r <\/code><\/pre> 14. SPF记录分析<\/h3> SPF记录列出了被授权代表域名发送电子邮件的主机。<\/p> 工具<\/strong>：assets-from-spf<\/code><\/p> git clone https:\/\/xxx.com\/yamakira\/assets-from-spf.git pip install click ipwhois python assets_from_spf.py target.com <\/code><\/pre> 15. 虚拟主机爆破<\/h3> 工具推荐：<\/h4> vhost-brute<\/strong>：<\/p> aptitude install php-curl git clone https:\/\/xxx.com\/gwen001\/vhost-brute.git <\/code><\/pre> <\/li> Virtual-host-discovery<\/strong>：<\/p> git clone https:\/\/xxx.com\/jobertabma\/virtual-host-discovery.git ruby scan.rb --ip=1.1.1.1 --host=target.com --output output.txt <\/code><\/pre> <\/li> <\/ol> 16. ASN发现技术<\/h3> 通过域名查询ASN，再通过ASN查询所属的所有IP范围。<\/p> 17. 综合工具推荐<\/h3> OneForAll<\/strong>：<\/p> 功能全面的子域名收集工具<\/li> 地址：https:\/\/github.com\/shmilylty\/OneForAll<\/li> <\/ul> <\/li> Sublist3r<\/strong>：<\/p> 快速子域枚举工具<\/li> 地址：https:\/\/github.com\/aboul3la\/Sublist3r<\/li> <\/ul> <\/li> <\/ol> 最佳实践建议<\/h2> 定期DNS解析<\/strong>：维持数据的实时性，保存历史解析的IP<\/li> 多源数据整合<\/strong>：爬取域名首页抓取二级域名<\/li> 整理sonar.fdns和sonar.http数据集<\/li> 结合域传送、爆破和搜索引擎结果<\/li> <\/ul> <\/li> 解决泛解析问题<\/strong>：先获取不存在域名的响应内容作为基准<\/li> 遍历字典比对响应内容相似度<\/li> 牺牲速度换取准确性<\/li> <\/ul> <\/li> <\/ol> 参考资料<\/h2> https:\/\/www.freebuf.com\/news\/133873.html<\/li> https:\/\/xz.aliyun.com\/t\/5509<\/li> <\/ol>