第6章_阶段5_DNS解析与数据清洗

第6章 阶段5：DNS 解析与数据清洗

本篇定位：子域名挖掘流程的第五阶段。前四步——被动、主动、进阶——收集了一批"原始子域名列表"。这个列表里有假阳性、重复、过时数据。清洗阶段把这些原始数据变成可信的子域名 + IP 列表，给下一步 HTTP 探测用。

阅读建议：如果你做过批量 DNS 解析，可以跳到 6.2 通配符检测看过滤方法。如果是新手，按顺序读——6.1 到 6.4 是清洗的四道工序，缺一不可。

6.0 方法论框架

清洗阶段在全局流程里的位置：

阶段4：进阶发现（新增子域名） ──→ 【阶段5：DNS 清洗】 ──→ 阶段6：HTTP 探测与价值评估 │ ├── 多 DNS 轮询解析（避免单一来源偏差） ├── 通配符检测与过滤（去除假阳性） ├── CNAME 链跟踪（识别架构和风险） └── 输入输出校验（防止丢包）

什么是清洗

清洗（Data Cleaning），指的是把前四步收集的"原始子域名列表"做验证和过滤，变成"可信的子域名 + IP 列表"。清洗不做新发现——它只验证已有数据。

为什么在 HTTP 前面

原始数据的四类问题

四个环节概览

关键认知：清洗不是发现新子域，是把已有数据变可信。这一步的价值是"省成本"——过滤掉假阳性和过时数据，让下一步 HTTP 探测只处理真正存活的子域。跳过清洗直接做 HTTP 探测，会浪费大量请求配额在不存在或已下线的子域上。

6.1 多 DNS 轮询解析

前置知识

DNS 缓存机制回顾

基础知识02讲过 DNS 解析流程——查询从递归 DNS 服务器出发，逐级查询。这里补充缓存对批量查询的影响：DNS 服务器会把查询结果缓存一段时间（TTL）。缓存对单次查询是好事——下次查同一个域名直接返回缓存。但对批量查询是坏事——如果第一次查dev.example.com返回了 NXDOMAIN（因为那时网络抖动），这个 NXDOMAIN 会被缓存——后面再查还是 NXDOMAIN，即使域名已经恢复。

公共 DNS 的差异

基础知识02讲过本地 DNS 和公共 DNS。这里补充：不同公共 DNS 的解析结果可能不同。原因：缓存状态不同（A 服务器刚缓存了旧结果，B 服务器没有）、EDNS 子网支持不同（部分公共 DNS 会根据用户地理位置返回不同 IP）、权威 DNS 负载均衡（权威 DNS 服务器本身有多个，不同公共 DNS 可能查到不同的权威服务器）。所以只查一个公共 DNS，可能拿到偏差结果。

UDP vs TCP 回顾

基础知识02讲过 DNS 用 UDP 53 端口查询。这里补充批量查询时的场景：UDP 包有 512 字节限制——CNAME 链长或响应记录多时，UDP 装不下，DNS 服务器会截断响应并设置 TC（Truncation）标志位。客户端看到 TC 标志后，要用 TCP 53 重新查一次拿完整结果。批量解析时，大量 CNAME 链会导致 UDP 频繁截断——如果只查 UDP，会漏掉被截断的结果。

是什么

用多个公共 DNS 服务器轮询解析子域名列表，避免单一 DNS 服务器的缓存偏差、限速和单点故障。

为什么

怎么做

第一步：配置多个公共 DNS

第二步：轮询查询

对每个子域名，轮询用不同 DNS 服务器查询：

第三步：结果对比

对同一子域名，如果多个 DNS 返回不同结果，标注并重查：

第四步：超时降级

UDP 查询超时后，切 TCP 重新查：

技巧

注意事项

6.2 通配符检测与过滤

前置知识

通配符 DNS 回顾

基础知识04讲过通配符 DNS（Wildcard DNS）——在 DNS 配置里加一条*.example.com的记录，让所有未明确配置的子域都解析到同一个 IP。这意味着你查randomstring123.example.com，即使这个子域从未配置，也会返回 IP——返回 NOERROR 而不是 NXDOMAIN。

随机子域验证概念

检测通配符的方法：构造一个不可能存在的随机子域名（如xqzwkpvn123.example.com——这串随机字符不可能被管理员配置过），查它的 DNS。如果这个随机子域也解析成功，说明目标启用了通配符 DNS——字典爆破返回的所有 NOERROR 结果都是假阳性。

关键认知：通配符 DNS 是主动探测最大的干扰因素。如果没有通配符，NOERROR = 子域存在，NXDOMAIN = 子域不存在，判断很简单。有了通配符，NOERROR 不代表子域真实存在——所有子域都返回 NOERROR。检测通配符是主动探测后必须做的第一件事。

是什么

检测目标是否启用了通配符 DNS，过滤掉因通配符产生的假阳性子域。

为什么

通配符 DNS 让所有子域返回 NOERROR——字典爆破和排列扫描的结果全是假阳性。如果不过滤，HTTP 探测阶段会对着一批不存在的子域发请求，全返回 404 或超时——浪费请求配额和时间。

怎么做

第一步：随机子域探测

构造多个不可能存在的随机子域名，查 DNS：

第二步：判断通配符

第三步：过滤策略

确认启用通配符后，过滤掉命中通配符 IP 的子域：

第四步：例外保留

不是所有命中通配符 IP 的子域都是假阳性——有些子域碰巧和通配符 IP 一样，但是真实存在的（管理员手动配置了dev.example.com → 1.2.3.4，通配符也指向1.2.3.4）。要保留的例外：

技巧

注意事项

6.3 CNAME 链跟踪

前置知识

CNAME 记录回顾

基础知识04讲过 CNAME（Canonical Name，规范名称）记录——把一个域名别名指向另一个域名。如blog.example.com的 CNAME 指向example.github.io，访问blog.example.com实际访问的是example.github.io。

CNAME 链概念

CNAME 链是指一个子域的 CNAME 指向另一个域名，那个域名可能又指向下一个——形成链条：blog.example.com→example.github.io→github.map.fastly.net→151.101.1.1。链条的终点是 A 记录（IP 地址）。

CNAME 与第三方服务

当 CNAME 指向第三方平台（如github.io、herokuapp.com、s3.amazonaws.com），意味着这个子域托管在第三方平台上。如果目标在第三方平台上的资源被删除（如 GitHub Pages 项目删除），但 DNS 的 CNAME 记录还在——这个子域就指向了一个不存在的第三方资源。这种"悬挂 DNS"（Dangling DNS）可能被攻击者接管——在第三方平台上重新注册这个资源，就能控制这个子域。

关键认知：CNAME 链不只暴露服务架构，还暴露接管风险。指向已失效第三方资源的 CNAME 是高危信号——意味着这个子域可能被接管。识别和标注这种风险是 CNAME 链跟踪的重要价值。

是什么

追踪子域名的 CNAME 链，识别 CDN、第三方服务、接管风险。

为什么

怎么做

第一步：查 CNAME 记录

对每个子域名查 CNAME 记录：

第二步：追踪链条

顺着 CNAME 链一直追到终点（A 记录）：

blog.example.com → example.github.io（CNAME） → github.map.fastly.net（CNAME） → 151.101.1.1（A 记录，终点）

第三步：识别终点类型

第四步：标注接管风险

指向已失效第三方资源的 CNAME，标注接管风险：

这里只讲"识别和标注风险"，不展开接管利用方法——利用步骤留到后续漏洞章节。

技巧

注意事项

6.4 输入输出校验

前置知识

管道数据丢失概念

批量处理数据时，数据从输入端经过处理流程流向输出端，这个中间通道叫"管道"（Pipeline）。管道可能丢数据——比如 DNS 解析时，输入了 1000 个子域，但因为网络超时、DNS 服务器限速、程序异常，输出端只收到 950 个结果。50 个子域在管道里丢了。如果不做校验，你以为处理完了 1000 个，实际只处理了 950 个——50 个子域漏掉了。

关键认知：丢包是批量处理的常见问题，不是 bug——网络超时、DNS 限速、并发冲突都会导致丢包。校验的价值是"发现丢了多少、补回来多少"。第8章踩坑录里有管道数据丢失的实战案例。

是什么

校验从输入（原始子域名列表）到输出（清洗后子域名列表）的数据完整性，发现和修复丢包。

为什么

批量解析时管道可能丢数据——输入 1000 个子域，输出 950 个，50 个在管道里丢了。如果不校验，这 50 个会被当作"不存在"——实际是超时丢的，不是真不存在。假阴性。

怎么做

第一步：输入计数

第二步：输出计数

第三步：差异比对

第四步：异常处理

技巧

注意事项

6.5 阶段输出

输出1：可信子域名列表

输出2：IP 地址列表

输出3：通配符状态表

输出4：异常记录

6.6 与其他阶段的衔接

输出流向

可信子域名列表 ──→ 阶段6：HTTP 探测（对存活的做探测） IP 地址列表 ──→ 阶段6：HTTP 探测（IP 归属判断 CDN） 通配符状态表 ──→ 归档（后续复扫参考） 异常记录 ──→ 阶段8：踩坑录（接管风险单独处理）

清洗过的数据为什么要做 HTTP 探测

清洗解决的是"DNS 层面是否存活"——解析成功 = 域名在 DNS 里有记录。但 DNS 存在不等于有价值：

清洗没解决的问题：DNS 存在不等于有价值。一个子域名 DNS 解析成功，但 HTTP 探测可能返回 404、403、502——这些状态码的挖掘意义，留给阶段6 HTTP 探测判断。

递归时要重新清洗

进阶发现阶段（阶段4）发现新子域时，要回到这里重新清洗：

关键认知：清洗是流程里最容易被忽视的阶段——它不发现新东西，只做验证和过滤。但跳过清洗直接做 HTTP 探测，会浪费大量请求配额在假阳性、过时、不可达的子域上。清洗的价值是"省成本"和"保质量"。

下一篇：第7章——HTTP 探测与价值评估，判断哪些子域"存活"且"有价值"。