查一个IP背后绑了哪些域名，通过最直接的反查办法是翻DNS的历史记录。很多人以为只有域名能反查IP，域名其实反过来也行，通过只不过路子不太一样。反查

我最早接触这事是域名帮朋友排查一台服务器。他那台机器上跑了七八个站，通过时间一长自己都忘了哪个域名指向这台机。反查IP是域名知道的，域名记不全。通过用nslookup一个个试？反查太笨。后来换了个思路，域名去查这个IP的通过PTR记录——也就是反向DNS。结果只出来一个默认的反查主机名，像ip-192-168-1-1.example.com这种，域名根本不是他要找的域名。

PTR记录靠不住。原因很简单：反向解析区归IP所有者管，人家乐意设成什么就设成什么，不设也完全合规。指望它列出所有域名，等于指望快递单号能告诉你包裹里装了啥。

真正管用的是被动DNS数据库。这类服务商在全球各地布探针，持续抓取DNS查询和响应，把“域名→IP”的映射关系存下来。你拿一个IP去搜，它能告诉你历史上哪些域名解析到过这个地址。我常用的是SecurityTrails和ViewDNS，前者免费额度少但数据全，后者界面糙但够直接。有一次查一个可疑IP，ViewDNS返回了四十多个域名，其中三个是钓鱼站，两个是赌博页面，剩下的全是垃圾站群。这种关联性单看一个域名根本看不出来。

另一个路子是SSL证书。现在大部分网站都用HTTPS，证书里有个字段叫SAN，能列出一张证书覆盖的所有域名。如果同一张证书同时给a.com和b.com签了名，那这两个域名大概率在同一台服务器上。去Censys或者crt.sh搜IP对应的证书指纹，能挖出一串域名。我试过一个案例：某公司官网IP下挂着一台测试机，证书里夹带了一个内部用的dev-admin.xxx.com，这种信息在公开DNS里根本查不到。

还有搜索引擎的语法。Bing和Google都支持ip:1.2.3.4这种查询，虽然结果越来越不准，但偶尔能捡到漏。百度没这个功能，不过可以用site:配合IP段碰运气。更土的办法是去站长工具站，比如tool.chinaz.com的同IP网站查询，原理也是拼凑历史数据，优点是中文站收录得全。

说个实际踩过的坑。有次用某在线工具查一个IP，显示绑了200多个域名，我差点以为碰上了大型虚拟主机。后来逐个抽查，发现大部分域名早就过期了，只是数据库没清理。所以反查结果必须交叉验证——挑几个域名访问一下，看返回的页面是不是同一台服务器，或者用curl -I看响应头里的Server字段是否一致。

最后提一句：反查域名这事，免费工具够用，但别指望百分百准确。DNS记录有TTL，会过期；CDN会隐藏真实IP；共享主机上几百个域名混在一起。真要查得细，还是得结合证书、历史Whois和页面指纹一起看。我自己的习惯是先用ViewDNS扫一遍，再用crt.sh补漏，最后手动访问几个可疑域名确认。整个过程花不了十分钟，比瞎猜强多了。