解析配置核查是查什么
DNS 是资产发现的起点，也是常见配置疏漏的所在。核查包含两部分：一是区域传送（AXFR）是否对任意来源开放，开放意味着任何人都能一次性取走全部记录；二是记录与业务的一致性，比如残留的测试记录、指向内网地址的公网记录。核查都是标准只读查询，发现开放传送只验证并记录，不把整份区域数据抓下来存档。
基本信息
| 核查对象 | 授权域名的权威服务器与记录集 |
|---|---|
| 核查项 | 区域传送是否开放、记录与业务一致性 |
| 方法 | 标准查询命令，全部为只读操作 |
| 常见工具 | dig、nslookup、host（Linux/macOS）；nslookup（Windows） |
| 处置 | 开放传送在报告中建议限制来源或改用转发 |
典型使用场景
- 项目启动时确认权威服务器清单，避免把第三方托管域名纳入范围
- 检查是否存在可被任意查询的区域传送配置
- 找残留的测试记录：指向内网 10 段或已下线业务的 A 记录
- 核对 DNS 记录与客户资产台账是否一致，发现漏登记的入口
- 解释解析异常：TTL 过长或多条 A 记录导致的访问不均
核查命令
核查命令
dig +short NS example.com # 列出权威服务器，确认查询对象
+noall +answer SOA example.com # 查看区域名与主服务器
dig AXFR example.com @ns.example.com # 尝试区域传送：被拒是正常结果
dig +short www.example.com # 逐条核对关键记录与业务是否一致
# 记录结论：是否开放、涉及哪些记录类型；不保存整份区域列表结果与判断
| 执行结果 | 含义 | 处置 |
|---|---|---|
| AXFR 返回 Transfer failed 或 REFUSED | 已限制来源，属正常 | 无需处置，记录已核查 |
| AXFR 返回完整记录列表 | 区域传送对任意来源开放 | 记下证据与记录条数，建议限制来源 |
| 发现公网记录指向内网地址 | 配置遗留，暴露内网网段 | 列入报告，建议清理或改为内部域名 |
| 记录与台账不一致 | 可能存在漏登记资产 | 与客户核对后再决定是否纳入范围 |
区域传送开放属于配置问题：验证一次拿到结论即可，不要为了完整性把整份区域数据下载留存，抓取范围要控制在证明问题所需的最小程度。
只对授权域名的权威服务器做查询；域名可能由第三方托管，权威服务器未必属于客户，这类对象是否纳入范围要先问清。