二级域名挖掘

一个域名背后往往藏着没公开的域掘子域名。它们可能是名挖测试站、老版本后台、域掘内部工具，名挖甚至一个忘记关掉的域掘数据库管理界面。挖这些二级域名，名挖本质上是域掘在翻企业没来得及藏好的底牌。

我见过最典型的名挖一次，目标是域掘一家做在线教育的公司。主站防护做得滴水不漏，名挖WAF、域掘CDN、名挖验证码全上齐了。域掘常规路径全被封死。名挖后来我从他们SSL证书透明度日志里翻出个叫 dev-crm.xxx.com 的域掘子域，直接打开是个裸奔的PHPMyAdmin登录页，密码是admin/admin。前后花了不到二十分钟。你说这算漏洞吗？严格说连漏洞都算不上，就是没人管的一扇侧门。

挖掘手法分几路。最基础的是字典爆破，拿常见前缀去撞DNS——admin、test、api、mail、ftp，一套词表跑下来总能撞出几个。再高级点的是查证书透明度，Censys和crt.sh上能直接拉出某个根域名下所有签发过的SSL证书，里面往往躺着大量早已被遗忘的测试子域。还有被动DNS，像SecurityTrails这类服务会记录历史解析记录，哪怕现在这条子域已经删了，也能从历史数据里挖出痕迹。

有个细节值得玩味：很多子域不是被“攻破”的，而是自己暴露的。GitHub上搜目标公司的代码仓库，经常能发现硬编码的API地址或者内网域名。JS文件里也有线索，前端打包出来的代码偶尔会残留//internal-staging.xxx.com这样的注释。这些信息不是漏洞，但比漏洞更值钱——因为它们指向的往往是信任边界内的系统。

挖到子域只是第一步，判断它的价值才是关键。一个vpn.xxx.com和一个blog.xxx.com权重完全不同。前者可能直接连着内网，后者顶多是个WordPress。看响应头、看目录结构、看有没有登录框，这些细节能快速筛出高价值目标。有时候甚至不用猜，直接看子域名的命名习惯——如果主站是www，那oa、erp、hr这些缩写基本就是内部系统的代称。

这活儿干久了会有种感觉：企业越大，影子资产越多。大公司部门之间缺乏沟通，市场部随手在阿里云开个活动页，技术部在AWS上搭个测试环境，运维那边根本不知道。这些散落的子域就像没上锁的储物柜，没人记得里面放了什么，但谁都能打开看看。真正危险的从来不是那些精心防护的核心系统，而是角落里落灰的旧机器。

挖子域挖到最后，拼的不再是技术，而是耐心和细心。把目标当朋友一样了解，知道他们习惯用什么命名规则，喜欢在哪个云服务商上部署，甚至连离职员工的个人域名都可能成为突破口。一条不起眼的backup-2020.xxx.com，可能就是整个安全体系里最脆弱的那个环节。