在线子域名查询工具，线域询说白了就是名查帮你把目标域名下藏着的子站翻出来。我见过太多人只盯主站，线域询结果漏掉一堆测试环境、名查后台入口甚至直接裸奔的线域询数据库。这玩意儿不是名查锦上添花，是线域询安全审计和资产盘点的基础动作。

拿真实案例说话。名查上个月帮朋友排查一个电商站，线域询主站防护做得滴水不漏，名查WAF、线域询CDN、名查验证码全上齐了。线域询结果我用子域名查询扫了一圈，名查发现dev.shop.com直接指向一个内网IP，线域询页面是phpMyAdmin登录框，密码还是弱口令admin。就这么一个不起眼的子域名，差点把整个用户库送出去。你说主站防得再好有什么用？攻击者根本不需要正面突破。

这类工具的原理不复杂，主要靠三种手段：一是暴力枚举常见前缀，比如www、mail、ftp、vpn这类；二是从公开的证书透明度日志里捞，SSL证书签发记录会暴露域名；三是爬搜索引擎和DNS历史记录。免费工具大多只跑第一种，付费的能整合后两种。但别迷信所谓“全量数据”，工具的覆盖率和实时性差异极大，同一个域名在不同工具里查出来的结果可能差一半。

我自己的习惯是交叉验证。拿example.com来说，先用SecurityTrails查历史DNS，再用Censys搜证书，最后用crt.sh补漏。三个结果合并去重，基本能覆盖八成以上。剩下的两成靠运气——有些子域名只在内部解析，公网根本查不到，除非你黑进对方的DNS服务器，否则谁也没辙。

这里有个反直觉的点：子域名越乱，往往说明公司管理越差。正规企业的子域名通常有固定命名规范，比如prod-、staging-、api-。如果你看到一堆随机数字或者拼音缩写，大概率是某个离职员工随手建的，没人管也没人清理。这种“影子资产”才是真正的雷区，比主站漏洞危险多了。

操作上别光看A记录。有些子域名不直接解析IP，而是用CNAME指向云服务，比如s3.amazonaws.com或者cloudfront.net。这就有个经典漏洞——如果原服务被释放，你可以注册同名bucket或域名接管整个子域。我试过一次，在GitHub上找某公司的子域枚举结果，发现一个指向已过期S3桶的链接，花了10分钟注册，直接拿到了该公司的uploads.example.com控制权。整个过程没碰任何服务器，纯粹是配置残留。

工具选型方面，别一上来就上重型商业平台。先用在线版跑一遍，比如HackerTarget或者DNSDumpster，免费额度够日常用。如果要做批量扫描，再考虑用工具配合字典本地跑，效率更高。但记住，任何工具都只是辅助，真正的判断力在于你能否区分哪些子域名值得深挖，哪些只是标准建站组件。

最后提醒一句：查询行为本身合法，但别拿它干坏事。子域名信息是公开资产，收集不违法，可一旦利用漏洞越权访问，性质就变了。我见过太多人栽在这上面，前脚查完子域，后脚顺手试了试弱口令，然后就被请去喝茶。边界要拎清——查是侦察，打是入侵，中间隔着一道法律红线。