用证书透明日志和被动 DNS 被动枚举隐藏子域名与兄弟域名

在不向目标发送流量的前提下，从 CT 日志和被动 DNS 中挖掘组织遗忘的 staging、dev、admin、VPN 主机及未知兄弟域名。

适用场景

解决思路

1. 按你手上的起点选择首个数据源：有顶级域名先用 crt.sh 通配符查询（覆盖最广、含早已失效的名字）；域名藏在通配符证书后用被动 DNS 再查归档；只有命名约定猜测时先用 CT 学约定再上字典；只有组织名没有域名时按证书 subject organization 搜索；已有证书先看其 SAN 再看 serial 和 issuer；只要当前存活主机则解析候选列表。
2. 理解 CT 的三个关键后果：日志只追加不删除（五年前的主机名仍在）；预证书和正式证书都会入日志（同一名字至少出现两次，需去重）；只有公开信任的证书才被覆盖（私有 CA、自签名、Cloudflare origin 证书完全不可见）。
3. 用 crt.sh 的 ?q= 查询（% 为通配符，output=json 返回机器可读结果）：curl -s 'https://crt.sh/?q=%25.example.com&output=json' | jq -r '.[].name_value' | sed 's/^\*\.//' | sort -u；加 &exclude=expired 偏向当前基础设施；用组织名做身份搜索可发现简报未提及的域名。
4. 利用 crt.sh 的 JSON 字段：name_value（证书上所有名字，换行分隔）、common_name、issuer_name、not_before/not_after、serial_number、entry_timestamp、id（访问 https://crt.sh/?id=<id> 读证书）。
5. crt.sh 还提供只读 Postgres 接口（host crt.sh、port 5432、user guest、database certwatch），可写真正的 SQL 查询证书索引而非翻页 JSON；这是共享免费服务，查询要有界，猛打会被切断。
6. 把 SAN 字段当作重点：浏览器忽略 Common Name，subjectAltName 才是真实覆盖主机名列表。少量相关名字=同一服务同一管理员的有意分组；几十个不相关名字=托管商或 CDN 的捆绑证书，那些名字是其他客户不是目标资产（CT 枚举最大误报源）；同一证书上出现不同可注册域名=同一运营方管理两者，可暴露收购、改名和未披露的兄弟品牌（需先验证）。
7. 从 SAN 中捕捉内部名泄漏：jira、owa、vpn、*.corp.example.com、带机架或数据中心代码的主机名、从未公开的产品代号。
8. 遇到通配符证书时（*.example.com 覆盖一切却不指名任何子域，通常伴随 DNS-01 ACME 自动化，此后 CT 中变瞎）：挖掘通配符出现之前的 CT 记录（那时有逐主机证书）；转向被动 DNS（记录应答而非证书）；查归档和搜索索引找主机名；找技术上必须自带证书的主机——比通配符更深一层标签的（a.b.example.com 需自备）以及在不同顶级域上的。
9. 三源并用并按来源打标签：CT 给历史，被动 DNS 给观测现实，字典给无人发布的名字。示例：subfinder -d example.com -all -silent -o passive.txt；amass enum -passive -d example.com；dnsx -l passive.txt -a -resp -silent 解析候选到 A 记录。
10. 解析后分三桶：解析到地址、解析到 CNAME（读目标——它点出供应商，悬空的 CNAME 是接管候选需上报）、完全不解析。死名字仍是发现：可推断基础设施年代、暴露命名约定，有时以后会重新解析。
11. 在信任任何爆破结果前先检测通配符 DNS：解析一个不可能存在的随机名如 zzq7x-nonexistent.example.com，若有应答则整个区域解析一切，你的爆破列表全是误报。
12. 明确区分被动与主动：查 CT、被动 DNS、搜索引擎和归档从不接触目标；通过公共递归解析器解析候选名基本不可见但会产生查询；字典爆破是高流量 DNS 流量，对目标 DNS 提供商可见且可能被限速或封锁；用 httpx 等做 HTTP 探测是主动行为（你在连接目标服务器）。在范围说明中标注爆破和探测，纯被动任务时跳过它们。
13. 按名字模式分级处置：dev、staging、uat、vpn、legacy、old、admin 面板与 www 的风险和后续动作完全不同，不要一视同仁。
14. 按置信度分级：已确认资产=名字可解析、位于已验证注册的域名下、基础设施与目标其他主机一致（同 ASN、同证书签发者、同命名约定）；可能资产=已验证目标域名下的 CT 名字但不再解析，或解析到供应商共享平台；未确认=来自捆绑无关客户证书的名字、通配符 DNS 区域中的爆破命中、无佐证链接的不同可注册域名上的名字、或未见过底层证书/DNS 应答的聚合器结果。
15. 为每台主机记录：名字来源、证书 id 或被动 DNS 来源、not_before 日期、带时间戳的解析结果。
16. 警惕常见错误：捆绑/多租户证书（共享主机和 CDN 把无关客户放同一证书，采用前先判断其他名字是否可能属于目标）；CT 不是资产清单（内部 CA、自签名、origin 证书、纯 HTTP 主机都不在其中，绝不可把 CT 列表报告为完整）；名字比主机活得久（400 个未解析子域就是 400 条未验证声明）；名字比所有权活得久（用 who-owns-this-domain 对照域名注册和转移历史检查 not_before）；CNAME 指向的第三方不是目标资产（是关系不是基础设施，别把供应商暴露当目标暴露）；聚合器会静默分歧（各工具查询不同源，免费层会悄悄截断，两个工具返回同样 50 个名字可能都读同一个源）；故意投毒（任何人都能为自己控制的名字申请证书，仿冒域名在 CT 搜索中看起来像目标主机，逐字符检查可注册域名）。
17. 遵守法律与 ToS：读 CT 日志和被动 DNS 是设计上公开的数据；但 crt.sh 等免费服务是共享基础设施，重度自动查询会被封且不礼貌，用有界查询并缓存结果；DNS 爆破和 HTTP 探测会向目标发送流量，按流量和司法管辖区可能被认定为未授权活动，须保持在书面范围内；发现悬空 CNAME 或暴露的 staging 主机有义务上报而非测试。

适用边界 · 注意事项

• 纯被动范围的任务中不要做字典爆破和 HTTP 探测——它们会向目标发送流量，可能被认定为未授权活动。
• 不要指望 CT 覆盖内部 CA、自签名证书、origin 证书或纯 HTTP 主机——这些主机在日志中完全不可见。
• 不要把 CT 结果当作完整资产清单，也不要把捆绑证书上其他客户的名字当作目标资产。