企业官网建设流程全解析

子域名挖掘全局流程

本篇定位：这是子域名挖掘方法板块的入口。读完基础知识六篇，你知道了 DNS、CDN、TLS 这些底层概念；但从这里开始，我们讲"怎么挖"。本篇只给框架——挖掘分几步、每步做什么、步骤之间怎么衔接，不展开方法细节。

阅读建议：如果你已经做过子域名收集，可以直接看 3.2 各阶段速览和 3.5 关键决策点。如果是新手，从头读，建立全局框架后再进入后续各章。

一、为什么需要结构化的挖掘流程

没有流程时，子域名挖掘是什么样的？拿到一个目标域名，直接上字典爆破——跑完发现遗漏了 CT Logs 里的子域；补上 CT Logs——又发现通配符 DNS 制造了一堆假阳性；好不容易清洗完—— HTTP 探测时才想起没判断 CDN，一半 IP 打在 CDN 节点上。

这些问题——散点收集、遗漏、重复、低效——的根本原因是没有流程。

流程的核心价值：从"碰运气"变成"系统性覆盖"。每一步有明确的输入和输出，前一步的输出是后一步的输入，每一步都知道自己该做什么、为什么在这做。

一句话概括整个流程：从已知域名出发，逐层扩大发现范围。

二、全局流程概览

每阶段一句话定位

阶段间的数据流向

每个阶段的输出，是下一阶段的输入：

准备（根域名 + 字典） → 被动发现（子域名列表，60-80% 覆盖） → 主动探测（补充遗漏的子域名） → 进阶发现（以新子域为跳板，递归扩大） → DNS 清洗（可信的子域名 + IP 列表） → HTTP 探测（存活的 + 有价值的子域名列表） → 输出（资产清单 + 价值分级）

三、各阶段速览

阶段 1：准备

做什么：界定目标范围（哪些根域名在范围内）、选字典（通用字典 + 目标定制字典）、配环境（DNS 解析器、并发参数、限速策略）。

为什么必要：没有范围界定，会挖到不相关的域名；没有合适的字典，主动探测的命中率极低；没有环境配置，批量解析时会被 DNS 服务器限速或封禁。

主要方法：根域名确认、字典选择（通用 + 定制）、多 DNS 解析器配置、并发与限速参数调优。

阶段 2：被动发现

做什么：不接触目标服务器，从公开数据源里找子域名。

为什么在第一步：零风险——不向目标发任何请求，不会触发 WAF 或 IDS。覆盖率高——CT Logs、搜索引擎、历史 DNS 数据加起来，通常能覆盖已知子域的 60-80%。

主要方法：CT Logs（crt.sh、Certspotter）、搜索引擎（Google dork、FOFA、Shodan）、历史数据（Wayback Machine、CDX API）、DNS 聚合（SecurityTrails、DNSDumpster）、代码泄漏（GitHub 搜索）、威胁情报（VirusTotal）。

阶段 3：主动探测

做什么：向目标的 DNS 服务器发查询，"敲门"发现被动方法找不到的子域名。

为什么在被动后面：被动方法有盲区——内部子域、未收录的子域、新上线的子域。主动探测能覆盖这些盲区，但有风险——会触发目标的检测系统。

主要方法：DNS 字典爆破（通用字典 + 并发控制 + 多级爆破）、DNS 域传送（AXFR，配置错误时能拿到全量记录）、DNS 排列扫描（基于已发现子域生成变体，altdns/dnsgen/gotator）。

阶段 4：进阶发现

做什么：把已发现的子域名作为跳板，继续发现更多子域名和 IP 资产。

为什么在主动后面：先穷尽常规方法能发现的子域，再以这些子域为种子做递归。直接上递归会浪费资源——你还没发现的子域，没法当种子。

主要方法：递归发现（对新子域重新跑被动 + 主动）、ASN 与 IP 反查（WHOIS + BGP → IP 段 → PTR 反查 → 正向验证）、网页爬取与 JavaScript 分析（页面里的接口、配置、域名）、冷门方法（APK 逆向、SNI 握手探测、邮件头分析、WHOIS 反向查询）。

阶段 5：DNS 清洗

做什么：把前四个阶段收集的"原始子域名列表"清洗为"可信的子域名 + IP 列表"。

为什么在 HTTP 前面：原始列表里有假阳性（通配符 DNS 制造的假子域）、过时数据（已下线的子域仍解析到旧 IP）、重复项。拿垃圾数据做 HTTP 探测，浪费时间和请求配额。

主要环节：多 DNS 轮询解析（避免单 DNS 服务器缓存偏差）、通配符检测与过滤（随机子域验证）、CNAME 链跟踪（识别 CDN、第三方服务、接管风险）、输入输出校验（数量对比，防丢包）。

阶段 6：HTTP 探测与价值评估

做什么：对清洗后的子域名做 HTTP 请求，判断哪些"存活"且"有价值"。

为什么在最后：前面五个阶段只管"有没有这个子域名"，这一步管"这个子域名背后有没有服务、服务值不值得打"。DNS 存在不等于有价值——可能是个空域名、可能是个 404、可能是 CDN 背后的死站。

主要环节：状态码语义（200/401/403/404 的挖掘意义）、重定向链跟踪（可能暴露新子域）、TLS 证书二次分析（SAN 可能藏着更多子域）、价值分级（高/中/低/信息/CDN 后资产）。

阶段 7：输出与监控

做什么：把探测结果归档为资产清单，定期复扫发现新增子域。

为什么不是终点：子域名不是静态的——目标天天在上线新服务、下线旧服务。一次挖掘的成果会过期。定期复扫 + 差异对比，才能持续跟踪目标的攻击面变化。

主要环节：字段规范（子域名、IP、CNAME、状态码、价值等级、发现来源、发现时间）、定期扫描（周/月级）、差异对比（新增子域 → 回到阶段 2 递归）、递归回路（新发现触发新一轮挖掘）。

四、章节地图

阅读顺序建议：

• 新手：按顺序读第 3 章到第 8 章
• 老手：跳到需要的阶段，看各章方法分类
• 快速查阅：看本篇 3.2 各阶段速览 + 流程总结的速查表

五、阶段间的衔接逻辑

为什么是这个顺序？

关键认知：这个流程不是一次性的——进阶发现的新子域会回到阶段 2 重新跑被动，定期复扫也会回到阶段 2。流程是循环的，不是线性的。

六、关键决策点

流程中不是每一步都走直线，有几个地方需要做选择：

这些决策点的详细处理方法在后续各章和踩坑实录里讲。

七、与基础知识的衔接

每个阶段用到哪些基础知识：

如果某个阶段用到的概念你不熟，回到对应的基础知识文档复习。

八、阅读建议

下一篇：第 3 章——被动发现，从零接触目标的信息收集开始。