快速查主域名下二级域名的方法有三类：一是用站长之家、crt.sh、dnsdumpster等在线工具一键扫描；二是通过搜索引擎指令site:*.example.com检索已收录子域；三是用Kali中subfinder、dnsenum等命令行工具进行专业枚举。
想快速知道一个主域名底下挂了多少个二级域名，比如 api.example.com、mail.example.com 或 dev.example.com，又不想装软件、不碰代码，或者需要更精准的技术验证——这时候就得结合在线工具的便捷性和命令行的可控性来查。
用在线工具一键扫描子域名
适合新手、运营、安全自查或临时排查，30秒内出结果，无需安装、不用配置。
方法一：站长之家子域名查询（国内访问快，带备案与IP信息）
→ 打开 tool.chinaz.com/subdomain
→ 在输入框中填入主域名（例如 【必须去掉 www. 前缀，只输 example.com】）
→ 点击“查询”，等待5～15秒，页面列出全部已发现的二级域名，并标注解析IP和网站标题。
方法二：crt.sh（查历史证书，覆盖老域名、已下线但曾启用过的子域）
→ 访问 crt.sh
→ 输入 【%example.com】（注意开头加 % 符号，这是通配符语法，不能漏）
→ 提交后返回所有匹配该主域的SSL证书记录，从中筛选出域名字段里的二级域名条目；部分结果可能已失效，需手动验证是否还能访问。
方法三：dnsdumpster（免费+可视化DNS关系图）
→ 进入 dnsdumpster.com
→ 输入主域名 → 点击 Search
→ 查看“Subdomains”标签页，同时可切换到“DNS Map”看子域与IP的拓扑关系；【注意：首次使用需完成简单验证码，否则返回空列表】。
用搜索引擎发现已被收录的二级域名
适用于找那些有公开网页、被百度或谷歌抓取过的子域，比如 blog、help、support 等对外服务类入口。
第一步：在百度或谷歌搜索框中输入 site:*.example.com（把 example.com 换成你要查的实际主域名）
第二步：观察结果页是否出现类似 mail.example.com、shop.example.com 的链接
第三步：若结果太多含 www，可追加 -www 排除主站，如：site:*.example.com -www
第四步：想定向找后台，加 inurl:/admin 或 inurl:/wp-login；想找API文档，试 intitle:"api documentation"。
在Kali Linux中用命令行枚举子域名
适合渗透测试、红队资产测绘或自动化批量任务，结果更底层、可导出、可脚本串联。
方法一：用 subfinder（推荐首选，数据源多、速度快）
→ 终端执行：subfinder -d example.com -o subs.txt
→ 输出文件 subs.txt 包含所有发现的二级域名，每行一个；【首次运行前需先配置 API key 到 ~/.config/subfinder/config.yaml，否则部分数据源会限流】。
方法二：用 dnsenum（老牌稳定，适合基础环境）
→ 安装：sudo apt install dnsenum
→ 执行：dnsenum example.com --threads 5
→ 自动调用多种DNS服务器递归查询，输出A、NS、MX等记录对应的子域名，末尾还会尝试暴力猜解常见词典。
方法三：whois + nslookup 组合验证（查注册归属 + 解析是否存在）
→ 先查注册信息：whois example.com | grep "Name Server"，确认权威DNS服务器
→ 再针对某个疑似子域做解析验证：nslookup api.example.com
→ 若返回非“** server can't find api.example.com”而是真实IP，则说明该二级域名已配置A记录并生效。
