如果你需要查找某个主域名下的二级域名，优先应根据数据来源、查询范围和使用目的选择工具，而不是只看“结果数量”。常见方案包括证书透明度查询、被动 DNS 数据、在线资产发现平台，以及适合技术人员使用的命令行工具。下面按实际场景整理可选工具，并说明各自适合解决什么问题。
先确定你需要哪一种查询结果
“二级域名查询”通常是指查找 blog.example.com、mail.example.com 这类主域名下的子域名。不同工具的发现方式并不相同，因此查询结果可能存在差异。
- 想快速获得公开线索：优先看证书透明度和在线查询工具。
- 想盘点历史资产：选择带被动 DNS、历史解析或资产关联数据的平台。
- 想做自有域名的完整枚举：使用 Subfinder、Amass 等专业工具，并结合多个数据源。
- 想确认域名是否仍然有效：查询后还要进行 DNS 解析、HTTP 状态和证书信息验证。
没有任何单一工具能够保证列出全部二级域名。未申请过公开证书、没有出现在被动 DNS 数据中，或仅在内网使用的域名，通常不会被公开查询工具完整发现。
二级域名查询工具推荐
1. crt.sh：适合快速查找证书记录中的子域名
crt.sh 主要检索证书透明度日志。网站为某个域名申请 HTTPS 证书时，证书中的域名信息可能进入公开日志，因此可以从中发现诸如 www、api、dev、mail 等二级域名线索。
适合场景：临时查询、快速收集公开域名、初步了解一个站点的证书覆盖范围。
优点：使用门槛低，适合直接在线查询；证书记录中可能包含当前页面未公开展示的主机名。
限制：它依赖证书透明度日志，未申请证书的域名不会出现在结果中；历史证书中的域名也不一定仍然在线，查询后需要再次验证 DNS 和访问状态。
2. DNSDumpster：适合做在线初步资产发现
DNSDumpster 属于面向网页使用的域名侦察工具，通常会围绕目标域名展示子域名、DNS 记录及相关主机线索。对于不想安装程序、只需要快速查看公开信息的用户，它可以作为入门选择。
适合场景：网站迁移前的公开资产盘点、域名结构初查、对不同主机和 DNS 记录做初步整理。
筛选理由：操作路径相对直接，适合把域名查询和基础 DNS 信息放在同一轮检查中完成。
使用时注意：在线工具的访问限制、数据更新频率和查询深度可能变化，结果宜与 crt.sh 或实际 DNS 查询交叉验证，不建议把单次页面结果当作完整资产清单。
3. SecurityTrails：适合查看被动 DNS 和历史变化
如果需求不是只看当前二级域名，而是希望了解历史解析、关联 IP 或域名记录，SecurityTrails 这类被动 DNS 平台更合适。它的价值在于利用长期积累的数据帮助用户发现曾经使用过的主机名和解析关系。
适合场景：企业资产梳理、域名变更回溯、排查旧系统或遗留子域名。
推荐依据：它关注的是历史和关联数据，能够补充证书查询无法覆盖的部分。
限制：历史记录不代表域名当前仍然可用，免费账户、查询次数、字段展示和 API 权限也可能受到套餐限制。用于正式资产管理时，应将查询结果导出后再与企业实际 DNS 配置核对。
4. VirusTotal：适合进行多来源线索交叉确认
VirusTotal 的域名页面通常会关联 DNS、证书、解析、样本或其他安全数据。它不只是一个单纯的二级域名枚举工具，但在已有候选域名后，可以帮助判断某个子域名是否曾被多个数据源记录。
适合场景：复核在线工具发现的结果、判断域名与 IP 或证书之间的关联、辅助安全运营人员整理公开资产。
优点：适合作为补充数据源，而不是单独承担完整查询任务。
限制：不同账户能查看的数据范围可能不同；平台中的记录可能存在延迟，个别域名也可能只是历史或安全分析数据中的对象，不能直接等同于当前有效网站。
5. Subfinder：适合技术人员进行被动枚举
Subfinder 是面向命令行环境的子域名发现工具，重点是调用多个被动数据源进行枚举。它更适合开发、运维和安全测试人员批量处理多个域名，而不是只查询一次。
适合场景：自有域名盘点、批量查询、自动化任务和后续资产管理流程。
选择理由：便于接入脚本或流水线，可以把多个来源的候选结果集中整理，并进一步进行去重和验证。
使用门槛：需要命令行环境和一定配置经验，部分数据源可能需要单独申请 API 密钥。输出结果仍然取决于数据源覆盖范围，不应简单理解为完整清单。
6. Amass：适合进行更全面的域名资产枚举
Amass 更适合需要系统化收集域名关系的场景。它可以结合被动信息、DNS 数据及其他发现方式，对目标域名进行较深入的资产整理，适用于有明确授权的企业安全和资产管理工作。
适合场景：企业外部攻击面梳理、较大范围的域名调查、需要保存和分析资产关系的项目。
推荐依据：功能覆盖面比单一在线查询更广，适合把发现、解析和资产关系整理纳入同一流程。
使用边界：部分主动探测方式可能向目标基础设施发起请求。查询自有域名时应提前确认授权范围、请求频率和测试时间，普通用户若只是查一个域名，没有必要一开始就使用复杂配置。
按需求选择工具组合
| 主要需求 | 优先选择 | 适合原因 |
|---|---|---|
| 快速查看公开子域名 | crt.sh、DNSDumpster | 在线操作简单，适合初步收集线索 |
| 查找历史或失效域名 | SecurityTrails | 更关注被动 DNS 和历史解析变化 |
| 交叉确认域名关联 | VirusTotal | 可补充证书、DNS、IP 等公开信息 |
| 批量或自动化查询 | Subfinder | 适合命令行、脚本和多数据源处理 |
| 企业资产全面盘点 | Amass | 适合更深入的域名关系和资产枚举 |
查询结果如何筛选和验证
工具返回的域名列表通常需要经过整理。首先去掉通配符、重复项和明显的格式错误，再确认域名是否能够正常解析。对于解析到同一 IP 的多个二级域名，还应结合 CNAME、A 记录、证书和 HTTP 响应判断它们是否属于同一业务。
其次要区分“曾经出现过”和“当前仍在使用”。证书透明度记录、历史 DNS 和安全平台数据都可能保留旧信息。可以用 DNS 查询工具检查当前解析，用 HTTPS 访问状态确认服务是否在线，再结合证书有效期判断域名是否仍被维护。
如果是企业自有域名，建议将在线查询结果与 DNS 服务商、云平台、CDN、邮件系统和内部资产台账进行比对。这样既能发现遗漏的二级域名，也能识别已经停用但仍被公开记录的旧资产。
结论：先按场景选，再用多个来源复核
只想快速查询时，crt.sh 和 DNSDumpster 是较容易上手的选择；需要历史数据时，可补充 SecurityTrails；需要批量处理或建立资产清单，则更适合 Subfinder 和 Amass。VirusTotal 可以作为交叉验证来源。
因此，二级域名查询工具不宜按固定名次判断优劣。更稳妥的选择方式是先明确查询目标，再根据数据来源、覆盖范围、更新情况、批量能力和验证成本进行筛选。对于重要域名，至少采用两个不同来源查询，并通过实际 DNS 解析确认结果。
