子域发现是什么
子域是暴露面的长尾：主站可能已经收敛，但测试域、活动域、历史域名仍指向旧系统或内网服务。外部视角下这些子域往往直接暴露应用后台或未加固的服务。发现途径主要有三条：证书透明度日志、DNS 数据（自有解析面板与被动 DNS）、业务访谈与发布记录。
基本信息
| 数据来源 | 证书透明度日志、DNS 解析记录、被动 DNS、业务访谈 |
|---|---|
| 自查方式 | 云解析面板导出全部记录 + 证书日志比对 |
| 处理原则 | 先确认归属与业务，再决定收敛方式 |
| 收敛手段 | 下线解析、接入统一入口、加访问控制 |
自查途径
自查途径
1. 证书透明度日志：crt.sh 等公共日志查询 *.example.com
2. 内部拉网：注册商/云解析面板导出全部解析记录
3. 业务访谈与发布记录：活动页、第三方托管域名
4. 被动 DNS 数据（商业服务）：历史解析指向
# 三份清单合并去重后再逐条确认用途批量解析核查
批量解析核查
while read d; do
echo -n "$d -> "; dig +short "$d" A | head -1
done < subdomains.txt
# 输出为空或指向内网地址（10./172.16./192.168.）的，逐个确认用途
# 指向内网地址的公有子域属于高风险配置，需优先处理典型使用场景
- 资产管理补全：把发现的子域纳入台账并指定责任人
- 外网暴露面收敛：识别仍指向内部系统的解析记录
- 证书治理：从证书日志反推未登记的子域与到期时间
- 上线前检查：新活动页、新子域发布前先登记再解析
- 并购与整合：接收外部资产时做一次完整的子域盘点
发现结果分类处理
| 类型 | 风险 | 处理 |
|---|---|---|
| 指向内网地址 | 高：可暴露内部结构 | 收敛解析或改为仅内网解析 |
| 无业务但可访问 | 中：历史遗留入口 | 确认后下线或接管 |
| 第三方托管 | 中：责任边界模糊 | 明确归属与安全要求 |
| 正常业务子域 | — | 纳入台账并做基线核查 |
发现陌生子域的处理顺序：先确认归属与业务，再决定收敛方式；直接删除解析可能打断未知业务，先联系可能的责任人更稳妥。
证书透明度日志能反推「曾经存在过」的子域，即使当前解析已删除也值得核对，避免遗漏仍在内部使用的入口。