十月二十七号凌晨两点，我在一台旧笔记本上把 x55313.com 的子域名又扫了一遍

得先说说起点。10 月 26 号晚上十一点四十，我正准备关电脑，手机弹了封邮件，主题就一行：「staging 环境检测到外部访问」。发件人是我自己两个月前配的一个监控脚本，名字我都快忘了。点进去，来源 IP 记的是我根本没见过的一段，访问路径是 /health。这一下我就睡不着了。

从一条告警倒推子域名，比正向扫有效

我一开始的思路比较笨，就是拿字典硬扫。subfinder 加两份社区字典，跑了大概四十分钟，出来的结果 4100 多条。看着挺多，但我心里清楚，这些东西九成是泛解析喂出来的假货，不能直接用。于是把结果全丢进一个文本文件，第一件事不是筛，是排序去重。这一步做完还剩 900 多条，还是虚。

真正有用的线索反而来自告警本身。那封邮件里的 Host 头是 staging-02.x55313.com，我在字典里根本没放这个词，是误打误撞被泛解析碰上的。于是回头看证书透明度日志，用 crt.sh 一查，同证书下挂了三个名字，其中一个叫 ops-console.x55313.com，这个之前完全没出现过。到这里方向才清楚：先顺藤摸瓜，再谈爆破。

泛解析是最烦人的东西

说句不太好听的，很多号称「子域名查询」的在线工具，在这件事上基本没救。它们给你 8000 条结果，你点进去一半打不开，剩下一半是同一个默认页。为什么？因为目标域名配了 wildcard，随便乱敲一个前缀都解析，而且返回的还是同一个 IP、同一张证书。

我这次的识别办法很土：先手动构造 5 个随机字符串，比如 zk8xq2、mq7vbn 这种，去 dig 一下。如果它们全都解析成功，并且 A 记录指向同一个地址，基本就可以判定泛解析开着，后面的结果必须做二次比对。这个动作我反复做了三次，每次间隔一小时，确认不是缓存。

工具不会告诉你它在骗你，它只会给你 4000 条结果，让你感激涕零。

筛完之后真正有意义的活子域，我数了一下是 23 个。其中 6 个是主站相关的 CDN 节点，不用管；9 个是历史遗留的静态资源域，证书早就过期；剩下 8 个需要一个个手工点开看。最花时间的其实是最后这 8 个，平均每个花了我二十分钟。

手工验证这一步，别偷懒

我记得很清楚，27 号凌晨一点零几分，我打开 ops-console.x55313.com，返回的是一个 302，跳转到登录页。页面标题写着「内部运维控制台」，但登录框底下的版权年份是 2020。这个细节让我警觉——一个还在用的控制台，不会挂 2020 年的版权。再查一下响应头，Server 字段是 nginx 1.14，老得离谱。我给负责这块的老周打了个电话，凌晨一点多把他吵醒，他迷迷糊糊说「那个早不用了，停在测试环境上没下线」。好家伙。

这就带出我想说的那个观点：在线子域名查询工具的结果，只能当线索，不能当结论。很多人拿到列表就完事了，觉得任务完成，其实真正的活儿才刚刚开始。一个还解析着的僵尸子域，比一个完全解析不了的域名危险得多，因为它安静、它有人维护的痕迹、它常常忘了配安全策略。我甚至觉得，做资产梳理时应该把「能打开但版本很旧」的域名排在最高优先级，而不是按字母顺序或者按解析时间排。这说法可能有点极端，但我坚持。

几样我实际用到的东西

• crt.sh 查证书透明度日志，能翻出字典里没有的名字，免费。
• dnsx 做批量解析，比一个个 dig 快得多，支持并发。
• 自己写的随机前缀脚本，每次生成 5 个，专门用来识别泛解析。
• 状态码和响应体长度的双重比对，长度完全一致的直接判为默认页。

顺手一提，比对这套逻辑我是从一篇讲 10部日本推理片推荐 的旧文里得到的启发，排除法嘛，本质上是一回事。还有朋友推荐过 xg0081.cc 上的字典，我也拿来对照跑了一遍，交集不算大，但补了两条我没发现的记录。

最后是怎么收尾的

28 号下午，老周把 ops-console 的解析记录删了，顺手把测试环境迁走。我重新跑了一遍查询，23 个活子域变成 22 个，剩下的我又过了一遍，确认没有类似的僵尸入口。整个过程没什么惊险的，但熬了两个夜。写完这段我打算去楼下买杯咖啡——不是奖励，是因为今天还得把监控脚本的告警阈值调一调，免得下次又是一封含糊其辞的邮件把我从床上薅起来。

对了，如果你也在做类似的事，程季恒陶桃小说免费阅读 那条记录我当时误标过，后来才发现只是博客子域，别被自己的标签骗了。还有 黑科网+今日黑科首页 里那些老帖，翻翻看，偶尔真能捡到有用的历史线索。日本双人瑜伽高清mv西瓜视频 那种标题我就不解释了，反正工具和标题党，识别逻辑是通的。