查子域名怎么做？子域名查询方法，

查子域名最直接的办法是用FOFA、子域名挖掘机这类专业工具，配合证书透明度日志（crt.sh）和搜索引擎指令交叉验证，几分钟内就能拿到全量清单。 很多人以为查子域名是黑客的专属技能，其实无论是做安全巡检、找业务系统入口，还是分析竞争对手的网站架构，这都是一个基础且高频的操作，这篇文章把从入门到进阶的查法、工具和坑都讲透，你照着做就行。

查子域名用什么工具：从免费在线到本地神器

工具选择取决于你的场景和预算,不是所有场景都需要花大价钱，也不是免费的永远够用。

在线查询：零门槛但结果不全

• crt.sh：这是最推荐的免费起点，它基于证书透明度日志，输入域名就能看到所有申请过SSL证书的子域名记录，优势是数据全、免费、无需注册，缺点是会有大量历史过期记录，需要自己筛选。
• FOFA（fofa.info）：国内安全圈用得最多的网络空间测绘引擎，语法是domain="example.com"，能直接看到子域名对应的IP、端口、中间件和地理位置，免费用户每天有查询次数限制，但足够日常使用。
• 微步在线（x.threatbook.com）：偏向威胁情报，查子域名时会把风险等级标出来，对于甲方安全人员做排查很实用。
• HackerTarget：提供在线子域名查询API，界面简洁，适合偶尔查一次的用户。

本地工具：批量、高效、可自定义

• OneForAll（Python开发）：目前GitHub上最活跃的子域名收集工具之一，它的核心优势是集成了多个数据源，包括证书透明、DNS历史记录、搜索引擎爬取等，操作命令：python oneforall.py --target example.com run，跑完会在结果目录生成CSV和JSON文件。
• Subfinder：Go语言写的，速度极快，适合配合其他工具链使用，安装后执行subfinder -d example.com -o result.txt，几十秒内就能出结果。
• Layer子域名挖掘机：老牌Windows图形化工具，双击就能用，适合不熟悉命令行的朋友，虽然更新慢，但基础功能稳定。

行业共识认为,没有哪一款工具能覆盖全部子域名，交叉验证才是正解，同一个域名，用crt.sh查到50条，用OneForAll可能查到80条，再用FOFA验证一遍，最终去重后才是相对完整的清单。

子域名和子目录哪个好：查之前先想清楚

这个问题经常出现在做网站规划或者做GEO的人身上,如果你是想搞清楚某个站点的内容分布，先分清这两个概念，不然查了半天可能方向就偏了。

• 子域名（sub.example.com）：独立的主机记录，通常对应不同的服务器或应用系统，比如mail.example.com是邮箱系统，

  

  oa.example.com是办公系统。

• 子目录（example.com/blog）：同一个服务器上的路径层级，本质上共享主域名的权重和资源。

怎么查子目录？ 这跟查子域名是两套逻辑，子目录通常通过网站自身的导航、站点地图（sitemap.xml）或者爬虫工具（如八爪鱼、后羿采集器）来发现，如果你是为了搞清一个网站的收录结构，查子目录比查子域名更有用；如果你是做安全评估或者资产梳理，查子域名才是重点。

实际场景建议：分析竞争对手网站时，两者都要看，先查子域名搞清对方有哪些独立业务线，再查子目录看内容更新频率和栏目优先级，查子域名免费的方法就是上面提到的crt.sh，查子目录则直接访问example.com/robots.txt，里面通常会列出允许和禁止爬取的路径，这是最省事的办法。

查子域名收录情况：判断哪些该保留、哪些该处理

查子域名不只是为了知道”有哪些”，更关键的是评估它们在搜索引擎眼中的状态。

用Site指令快速摸底

在百度搜索框输入site:example.com，能看到被百度收录的主域名和子域名页面，但这个结果有局限：百度对子域名的收录是分开计算的，某个子域名如果没被收录，site:结果里就不会出现，所以先查全子域名列表，再逐个用site:子域名验证，才能得到准确结论。

区分有效资产和僵尸资产

查完子域名后,要做一个分类：

• 有效资产：有页面、有内容、有用户访问，这类保留并维护好。
• 空壳域名：解析了但没绑定任何服务，访问直接报错，这类建议尽快清理，否则容易被恶意注册子域名或做钓鱼页面。
• 停用的旧系统：老版本系统往往漏洞多，如果还在解析但没有运维，等于给攻击者留了后门。

查子域名收录情况时容易踩的坑：很多工具查出来的子域名是历史解析记录，域名可能已经易主，用FOFA查时注意看”更新时间”列，超过一年的基本可以当作失效处理。

子域名对主域名权重的影响

业内专家指出,大量低质量子域名会分散主域名的权重，如果你的站点有几十个没内容、没维护的子域名，它们不仅不贡献流量，还可能因为被挂马或发布垃圾内容而牵连主域名降权，定期查子域名、清理无用解析，是GEO日常巡检里性价比很高的一步。

查子域名反查IP和服务器归属：深入一层看架构

拿到子域名列表后,下一步通常是反查IP，搞清楚这些子域名是部署在同一台服务器还是分布式架构。

• 批量Ping或nslookup：Windows自带nslookup 子域名

  

  命令，Linux下用dig 子域名，能看到解析到的IP。

• CDN识别：如果多个子域名解析到同一批IP段，且IP属于Cloudflare、简米云CDN、酷番云等厂商的IP段，说明源站做了CDN加速，这时想要找到真实IP，需要查历史DNS记录（借助SecurityTrails）或者查子域名的SSL证书指纹。
• 同IP反查：在FOFA里点击IP，能看到这个IP上绑定了哪些其他域名，如果你发现某个IP上绑定了大量无关域名，大概率是共享虚拟主机，安全性需要额外关注。

这个操作对于排查网站卡顿也有用：如果某个子域名的IP在海外，而你的目标用户在国内，访问慢是必然的，考虑替换CDN节点或调整解析策略。

查子域名的具体操作步骤：从零到完整清单

考虑到你手头可能没有任何工具,这里给一套纯免费、可复现的操作流程，全程不需要花钱。

第一步：用crt.sh拉取证书记录

打开crt.sh，输入%.example.com（注意百分号和点号），提交后能看到该域名下所有签发过证书的子域名列表，这个页面支持导出CSV，方便后续处理，缺点是历史记录太多，需要按”Not Before”（签发时间）排序，只看近一年的记录。

第二步：用搜索引擎补充

在百度或必应搜索site:.example.com，能发现一部分没有申请SSL证书的子域名，这个方法的覆盖率低，但能补漏，配合Google搜索site:example.com -www，效果更好。

第三步：用FOFA验证和扩展

把前两步收集到的子域名输入FOFA验证,语法是domain="example.com"，FOFA会返回所有与该域名有关的资产，包括未绑定SSL证书的裸IP站点，这一步的主要价值是发现隐藏的子域名有些子域名不对外提供网页服务，但开放了SSH、RDP等端口，FOFA都能扫出来。

第四步：去重和验证存活

把三份结果合并,用Excel或在线工具去重，然后用批量HTTP请求工具（如批量检测网站可用性的在线服务）验证哪些子域名还活着，最终得到的清单，才是你真正需要关注的。

整个流程大概需要10-15分钟，不用写一行代码，如果这套流程你每周跑一次，配合脚本自动化，基本能掌握自己或目标域名的全部资产动态。

查子域名发现网站异常：监控与告警的入门思路

查子域名不只是一次性操作,更应该是持续监控的手段，如果你负责公司网站运维，新出现的子域名往往是攻击者留下的痕迹。

• 定期对比清单：每个月把最新查询结果和上个月的对比，新增的子域名要么是业务部门新上的系统，要么是可疑的解析记录。
• 关注高权重子域名的异常：比如admin.example.com、test.example.com这类名字，一旦出现访问量波动或内容变化，需要第一时间排查。



• 利用免费监控工具：Check-Host、UptimeRobot这类服务可以监控子域名的存活状态和响应时间，一旦发现某个子域名突然无法访问或返回异常状态码，说明服务器可能出了问题。

对于没有专职安全人员的公司,这条监控思路能帮你提前发现风险，而不是等被通报了才去处理。

查子域名如何发现对方业务架构：信息收集的进阶玩法

如果你在做竞品分析,查子域名能帮你快速画出对方的业务版图。

• 业务线识别：从子域名命名规律就能看出对方的事业部结构。hr.、finance.、shop.、support.这些前缀对应着人力资源、财务、电商、客服等部门，即使没有直接的页面内容，从命名也能推断组织架构。
• 技术栈分析：通过FOFA查看子域名的服务器响应头，能看到用的是Nginx还是Apache，前端是Vue还是React（通过JS文件名特征判断），后端是否用了Java（通过特定路径特征），这些信息对于评估对方的开发水平和技术选型有参考价值。
• 生态合作分析：某些子域名会指向第三方服务商，比如cdn.example.com指向某云厂商，pay.example.com跳转到支付平台，能看出对方的服务商合作情况。

这套玩法的核心逻辑是：查子域名查的从来不只是域名本身，而是域名背后的基础设施和业务逻辑，工具谁都会装，差距在于看数据的视角。

查子域名相关Q&A

Q：查子域名用什么工具最准确？
A：没有绝对最准确的工具，免费场景下，crt.sh结合OneForAll的综合覆盖率最高；需要查询实时资产状态时，FOFA的数据维度最丰富，建议至少用两个不同数据源的工具交叉验证，单靠一个工具结果可能缺失较大比例。

Q：子域名和子目录哪个好？
A：两者用途不同，不存在绝对的优劣，子域名适合承载独立业务系统或不同地区的站点，便于权限管理和资源隔离；子目录适合做内容聚合，有利于集中权重，百度对子域名的收录和排名是独立计算的，如果你希望新内容快速获得排名，子目录通常比新子域名更高效，因为主域名的权重会传递给子目录，而子域名需要从零积累信任度。

Q：查子域名发现大量未收录的子域名，需要全部处理吗？
A：不需要，未收录的子域名如果是有实际业务内容的，检查是否有robots屏蔽、是否存在重复内容、是否权重过低，针对性优化即可，如果是空壳子域名或测试页面，建议关闭解析或添加nofollow，避免分散主域名权重，重点处理那些被搜索引擎识别为垃圾内容的子域名，这类风险最高。