常用的域名信息反查网站如下：
站长之家
微步在线
4.cn
西部数码
ViewDNS
子域名信息收集
子域名是指顶级域名下的域名。如果目标网络规模比较大，那么直接从主域入手显然是很不明智的子域名在线查询，可以先渗透目标的某个子域，再迂回渗透目标主域，是个比较好的选择。常用的方法有以下几种。
1．工具自动收集
目前已有几款十分高效的子域名自动收集工具，如子域名收集工具OneForAll，具有强大的子域名收集能力，还兼具子域爆破、子域验证等多种功能，图1-11所示为使用OneForAll对“ms08067.com”进行检测。
图1-11
使用参数可以更好地辅助我们进行子域名爆破，其中参数“–target”指目标主域，参数“–fmt”指子域名结果导出格式，导出.csv的文件格式便于我们使用Excel进行查看。更多参数使用方法，可以参考帮助文档。子域名导出结果如图1-12所示。
图1-12
可以看到，导出结果包含了很多项目，不仅有子域名，还有IP地址、Banner信息、端口信息等，十分全面。
常用子域名自动收集工具如下。
OneForAll
Fofa_view
Sublist3r
DNSMaper
subDomainsBrute
Maltego CE
2．网站配置文件
某些域名下可能存在存储与其相关子域名信息的文件。搜索此类域名一般需要查看跨域策略文件crossdomain.xml或者网站信息文件sitemap，通常只需将其拼接到需要查询的域名后进行访问。如果路径存在，则显示相应的域名资产。
图1-13所示为某网站拼接crossdomain.xml文件访问得到的子域名资产信息。
图1-13
并不是所有的网站都会存在crossdomain和sitemap这两类文件子域名在线查询，有的网站管理者会隐藏敏感文件或者干脆不用这两类文件进行跨域访问策略导向和网站信息导向，因此读者可以将这种方法作为一种辅助手段，或许会带来意想不到的结果。
3．搜索引擎枚搜集
利用搜索引擎语法搜索子域名或含有主域名关键字的资产信息，例如使用Bing搜索“ms08067.com”旗下的子域名及其资产，就可以使用“site:ms08067.com”语法，如图1-14所示。
图1-14
图1-14所示为包含“ms08067.com”的子域名网站及其主域名资产信息，此类语法可以辅助我们找到众多子域名。也可以通过不同的搜索引擎，如Bing、Edge等，或者使用网络空间资产搜索引擎FOFA、Shodan等获取较全面的子域名信息。
4．DNS应用服务反查子域名
很多第三方DNS查询服务或工具汇聚了大量DNS数据集，可通过它们检索某个给定域名的子域名。只需在其搜索栏中输入域名，就可检索到相关的子域名信息，如图1-15所示，使用DNSdumpster在线网站查询DNS Host解析记录可以得到子域名。
图1-15
可以看到，查询的Host解析记录中有很多子域名的解析记录，可以利用这些记录进一步反查DNS，看是否可以得到更全面的子域名。当然，除了利用上述在线网站查询，还可以利用本地的DNS命令行工具进行查询，具体的使用方法可参考帮助文档。
常用的DNS服务反查在线工具如下。
DNSdumpster
Ip138
ViewDNS
常用的本地DNS服务反查命令行工具如下。
Dig
Nslookup
5．证书透明度公开日志搜集
证书透明度（Certificate Transparency，CT）是证书授权机构（CA）的一个项目，证书授权机构会将每个SSL/TLS证书发布到公共日志中。一个SSL/TLS证书通常包含域名、子域名和邮件地址，这些也经常成为攻击者非常想获得的有用信息。查找某个域名所属证书的最简单的方法就是使用搜索引擎搜索一些公开的CT日志。
如图1-16所示，使用“crt.sh”进行子域名搜集。
图1-16
搜集出来的结果有crt的ID值、过去使用记录的时间，以及子域名信息等。
常用的搜集CT公开日志的在线工具如下。
crt.sh
Censys
— 实验室旗下直播培训课程 —
和20000+位同学加入MS08067一起学习
限 时 特 惠： 本站每日持续更新海量各大内部创业教程，加站长微信免费获取积分，会员只需38元，全站资源免费下载 点击查看详情
站 长 微 信： thumbxmw
