与zoom eye功能类似的搜索引擎：
Shodan
最著名的网络空间搜索引擎，主要扫描互联网上的设备（服务器、摄像头、路由器、工控系统等），支持按端口、协议、国家、组织等条件搜索。与 ZoomEye 最大的区别是 Shodan 更偏向全球设备指纹，ZoomEye 则对中文资产和 Web 指纹支持更好。Censys
由密歇根大学团队开发，专注于互联网主机、证书和服务的扫描与搜索，支持按 IP、域名、证书、服务 banner 等检索，学术和合规场景使用较多。FOFA
国内常用的网络空间资产测绘引擎，支持按协议、端口、应用、地理位置、证书等搜索，语法灵活，在 Web 资产发现和漏洞影响面排查中很常用。Quake（360 网络空间测绘）
360 推出的网络空间搜索引擎，支持资产搜索、协议识别、指纹识别等，界面和功能与 ZoomEye、FOFA 类似，国内用户较多。Hunter（奇安信鹰图）
奇安信的网络空间测绘平台，支持资产检索、指纹识别、协议识别等，偏向企业安全场景。Onyphe
法国的网络空间搜索引擎，聚合了多种扫描数据，支持按 IP、域名、证书、服务等检索，部分功能免费开放。Netlas
较新的网络空间搜索引擎，支持主机、域名、证书、服务等搜索，提供 API，适合自动化资产发现。GreyNoise
更偏向互联网背景噪声和扫描行为分析，不完全是资产搜索引擎，但可用于判断 IP 是否属于常见扫描源，常与 Shodan、Censys 配合使用。
如果按使用场景简单归类：Shodan、Censys、Onyphe、Netlas偏国际化和协议/设备层面；FOFA、Quake、Hunter在国内 Web 资产测绘和中文指纹方面更常用；GreyNoise更适合做扫描源和背景噪声判断。使用时需注意各平台的合规要求和授权范围。
子域名搜集是信息收集和攻击面管理中的常见环节。通常需要组合被动收集和主动探测两类方法，互相补充。以下按类别整理常用手段和工具。
一、被动收集
被动方式通过第三方数据源获取子域名，隐蔽性好，不会直接触碰目标资产。
证书透明度日志（CT Logs）
查询 crt.sh、Cert Spotter、Facebook CT 等，按域名检索证书中出现的 SAN 字段。
工具：
crt.sh网页查询、certspotterAPI、amass的 CT 模块。
搜索引擎与公开数据
Google/Bing 语法：
site:example.com -www、site:*.example.com。百度、FOFA、ZoomEye、Quake、Hunter 等空间测绘引擎按域名/证书搜索。
工具：
theHarvester聚合搜索引擎、PGP 密钥服务器、DNS 数据集等。
第三方 DNS 数据集与 API
SecurityTrails、VirusTotal、PassiveTotal、DNSDB、HackerTarget、alienvault OTX 等。
工具：
amass enum -passive、subfinder（内置大量被动源）。
公开代码与文档泄露
GitHub/GitLab 搜索
example.com、配置文件、CI/CD 文件。工具：
gitleaks、trufflehog，或 GitHub 搜索语法"example.com" filename:.env。
WHOIS 与 ASN 关联
通过 ASN 找同组织 IP 段，再反查 PTR 记录。
工具：
amass intel -asn、bgp.he.net。
二、主动探测
主动方式覆盖面更广，但会产生 DNS 查询或网络请求。
字典爆破
使用常见子域名字典（如 SecLists 的
subdomains-top1million-5000.txt）配合 DNS 解析。工具：
dnsx、massdns、gobuster dns、ffuf、puredns。注意：高并发爆破可能触发速率限制，建议控制 QPS。
DNS 区域传送（AXFR）
尝试
dig axfr @ns.example.com example.com，配置不当的 DNS 服务器可能泄露全部记录。
DNS 泛解析与通配符处理
先检测
*.example.com是否泛解析，避免爆破结果全是假阳性。工具如dnsx、puredns支持泛解析过滤。
虚拟主机枚举
对已知 IP 用不同 Host 头探测，发现未公开的子域名。
工具：
ffuf的 Host 头爆破、vhostscan。
爬虫与链接提取
爬取目标站点及 JS 文件，提取其中的域名/子域名。
工具：
katana、gospider、hakrawler，配合gau/waybackurls获取历史 URL。
证书 SAN 主动获取
对已发现 IP 的 443 端口拉取证书，提取 SAN 中的其他域名。
工具：
openssl s_client、tlsx。
三、常用工具组合
subfinder：被动源聚合，速度快，适合第一步。
amass：被动+主动，支持 ASN、CT、DNS 数据集，功能全面但较重。
assetfinder：轻量被动收集。
findomain：多源被动+证书查询。
dnsx / puredns / massdns：批量 DNS 解析与爆破。
gobuster / ffuf：字典爆破。
tlsx：证书 SAN 提取。
katana / gau / waybackurls：URL 与爬虫提取。
altdns：基于已知子域名生成变异字典（如
dev-api、api-dev）。
典型流程：subfinder -d example.com→amass enum -passive→ 合并去重 →dnsx解析验证 →tlsx提取证书 SAN → 对存活子域做爬虫和 Host 爆破 → 持续补充字典。
四、注意事项
授权与合规：主动爆破和扫描需在授权范围内进行，避免对第三方造成影响。
速率控制：DNS 爆破控制并发，避免被上游 DNS 或目标 WAF 封禁。
结果验证：被动源数据可能过期，需用 DNS 解析和 HTTP 探测确认存活。
泛解析过滤：务必先处理通配符，否则爆破结果大量假阳性。
持续化：子域名会变化，建议定期跑被动源并对比历史结果。
