使用 Subfinder 执行子域名枚举（Performing Subdomain Enumeration with Subfinder）
适用场景
- 在渗透测试或漏洞赏金猎人的侦察阶段
- 绘制目标组织的外部攻击面时
- 在对发现的子域名执行漏洞扫描之前
- 为持续安全监控构建资产清单时
- 在需要被动信息收集的红队演习期间
前置条件
- 安装 Go 1.21+（从源码构建）
- 安装 Subfinder v2（
go install -v github.com/projectdiscovery/subfinder/v2/cmd/subfinder@latest）
- 为被动源配置 API 密钥（Shodan、Censys、VirusTotal、SecurityTrails、Chaos）
$HOME/.config/subfinder/provider-config.yaml 中的提供商配置文件- 网络访问被动 DNS 和证书透明度数据源
- httpx 或 httprobe，用于验证发现的子域名
工作流程
步骤 1 — 安装和配置 Subfinder
# 安装 subfinder
go install -v github.com/projectdiscovery/subfinder/v2/cmd/subfinder@latest
# 验证安装
subfinder -version
# 配置 API 密钥以获得更好的结果
mkdir -p $HOME/.config/subfinder
cat > $HOME/.config/subfinder/provider-config.yaml << 'EOF'
shodan:
- YOUR_SHODAN_API_KEY
censys:
- YOUR_CENSYS_API_ID:YOUR_CENSYS_API_SECRET
virustotal:
- YOUR_VT_API_KEY
securitytrails:
- YOUR_ST_API_KEY
chaos:
- YOUR_CHAOS_API_KEY
EOF
步骤 2 — 运行基本子域名枚举
# 单域名枚举
subfinder -d example.com -o subdomains.txt
# 从文件枚举多个域名
subfinder -dL domains.txt -o all_subdomains.txt
# 使用所有被动源（较慢但更彻底）
subfinder -d example.com -all -o subdomains_all.txt
# 静默模式，用于管道传输到其他工具
subfinder -d example.com -silent | httpx -silent -status-code
步骤 3 — 过滤和自定义源选择
# 仅使用特定源
subfinder -d example.com -s crtsh,virustotal,shodan -o filtered.txt
# 排除特定源
subfinder -d example.com -es github -o results.txt
# 启用递归子域名枚举
subfinder -d example.com -recursive -o recursive_subs.txt
# 匹配特定模式
subfinder -d example.com -m "api,dev,staging" -o matched.txt
步骤 4 — 控制速率限制和输出格式
# 速率限制以避免 API 节流
subfinder -d example.com -rate-limit 10 -t 5 -o rate_limited.txt
# JSON 输出用于程序化处理
subfinder -d example.com -oJ -o subdomains.json
# 带来源信息输出
subfinder -d example.com -cs -o subdomains_with_sources.txt
# 按域名收集结果到目录
subfinder -dL domains.txt -oD ./results/
步骤 5 — 使用 httpx 验证发现的子域名
# 将 subfinder 输出管道传输到 httpx 进行实时验证
subfinder -d example.com -silent | httpx -silent -status-code -title -tech-detect -o live_hosts.txt
# 检查特定端口
subfinder -d example.com -silent | httpx -ports 80,443,8080,8443 -o web_services.txt
# 解析 IP 地址
subfinder -d example.com -silent | dnsx -a -resp -o resolved.txt
步骤 6 — 集成到更广泛的侦察管道
# 与 nuclei 链接进行漏洞扫描
subfinder -d example.com -silent | httpx -silent | nuclei -t cves/ -o vulns.txt
# 与 amass 结合进行综合枚举
subfinder -d example.com -o subfinder_results.txt
amass enum -passive -d example.com -o amass_results.txt
cat subfinder_results.txt amass_results.txt | sort -u > combined_subdomains.txt
# 对发现的主机截图
subfinder -d example.com -silent | httpx -silent | gowitness file -f - -P screenshots/
核心概念
| 概念 |
定义 |
| 被动枚举（Passive Enumeration） |
在不直接查询目标 DNS 服务器的情况下发现子域名 |
| 证书透明度（Certificate Transparency） |
揭示子域名名称的 SSL/TLS 证书公共日志 |
| DNS 聚合（DNS Aggregation） |
从多个被动 DNS 数据库收集子域名数据 |
| 递归枚举（Recursive Enumeration） |
发现子域名的子域名以实现更深层覆盖 |
| 源提供商（Source Providers） |
为子域名情报查询的外部 API 和数据库 |
| CNAME 记录 |
可能揭示额外基础设施的规范名称记录 |
| 通配符 DNS（Wildcard DNS） |
为任何子域名查询返回结果的 DNS 配置 |
工具与系统
| 工具 |
用途 |
| Subfinder |
主要的被动子域名枚举引擎 |
| httpx |
用于验证活跃子域名的 HTTP 探测工具 |
| dnsx |
DNS 解析和验证工具包 |
| Nuclei |
用于发现主机的基于模板的漏洞扫描器 |
| Amass |
具有主动/被动模式的互补子域名枚举工具 |
| gowitness |
用于视觉侦察的 Web 截图工具 |
| Shodan |
用于子域名情报的全网扫描数据库 |
| crt.sh |
证书透明度日志搜索引擎 |
常见场景
- 漏洞赏金侦察 — 枚举目标项目范围内的所有子域名，识别可能包含漏洞的被遗忘或配置错误的资产
- 攻击面映射 — 构建外部可访问子域名的综合清单，用于持续安全监控和风险评估
- 云资产发现 — 识别指向云服务（AWS、Azure、GCP）的子域名，这些可能容易受到子域名接管
- CI/CD 集成 — 在管道中自动化子域名监控，检测新子域名并在攻击面变化时发出警报
- 并购尽职调查 — 在安全评估期间映射收购目标的完整外部足迹
输出格式
## 子域名枚举报告
- **目标域名**：example.com
- **发现子域名总数**：247
- **活跃主机**：183
- **唯一 IP 地址**：42
- **使用的源**：crt.sh、VirusTotal、Shodan、SecurityTrails、Censys
### 发现的子域名
| 子域名 | IP 地址 | 状态码 | 技术 |
|-----------|-----------|-------------|------------|
| api.example.com | 10.0.1.5 | 200 | Nginx, Node.js |
| staging.example.com | 10.0.2.10 | 403 | Apache |
| dev.example.com | 10.0.3.15 | 200 | Express |
### 修复建议
- 删除已停用子域名的 DNS 记录
- 调查 CNAME 指向未认领服务的子域名
- 限制对开发和演示环境的访问
killvxk