查域名对应的IP，很多人第一反应直接ping。这个办法能用，但只能看到一小部分信息。ping依靠ICMP协议，不少服务器会直接禁用ICMP请求，返回结果为空。而且一个域名可能绑定多条A记录，ping命令只会返回其中一条。想要拿到完整解析结果，可以用nslookup或者dig。Windows打开命令提示符输入nslookup example.com，默认返回A记录与AAAA记录，对应IPv4和IPv6地址。Linux或者macOS执行dig +short example.com更简洁，只输出IP地址，不带多余信息。想要指定DNS服务器查询，可以执行dig @8.8.8.8 example.com，调用谷歌DNS查询，规避本地运营商DNS缓存带来的干扰。host命令输出更精简，host example.com会直接列出对应IP地址。
拿到IP之后，下一步就是反查。IP反查域名最标准的方式是查询PTR记录，也就是反向DNS。命令示例dig -x 8.8.8.8，把IP地址反向拼接.in-addr.arpa查询。Windows下nslookup 8.8.8.8同样尝试反向解析，返回主机名。但不要以为PTR万能，大量IP根本没有配置PTR记录，或者PTR只是运营商默认生成的通用名称，和实际网站域名不匹配。所以PTR能查到对应域名最好，查不到也属于正常情况，不能当成唯一手段。
在线工具做这类查询会比命令行省事。站长工具、IP138、ViewDNS都提供同IP域名查询功能，输入IP，工具会从数据库调出所有曾经解析到这个IP的域名。Bing搜索直接输入ip:43.156.78.90，也能检索出部分关联页面。这类工具原理是维护域名解析历史库，持续保存历次解析结果，反查就是拿IP检索数据库内记录。但碰到共享主机和CDN的时候结果失真严重。一个CDN边缘IP可能承载几万个域名，反查出来大量域名，和目标网站毫无关联。这时候反查结果只能当作线索，不能直接当作结论。
更精准的方式是查看SSL证书。一台服务器如果只托管单个网站，SSL证书内CN或者SAN字段一般会写明域名。Shodan、Censys这类网络空间搜索引擎，输入IP之后会返回该IP开放端口、服务指纹以及SSL证书信息。证书内域名列表，比单纯同IP查询靠谱很多，这是服务器自身返回的身份凭证。crt.sh主要功能是按域名查询证书，但反过来借助证书信息关联IP，也能挖掘出不少信息。SecurityTrails同时支持反向IP查询与历史DNS记录，可以查看某个IP历史绑定过哪些域名，对追踪更换过域名的站点很有用。
WHOIS查询分成两块。域名WHOIS查询注册人、注册邮箱、DNS服务器等信息；IP WHOIS查询IP归属ASN、运营商、分配地区。亚太地区IP分配由APNIC负责，查询结果可以判断这个IP属于机房还是住宅线路，运营商是电信还是联通。如果IP WHOIS归属云服务商网段，大概率是共享IP，反查域名数量会很多。如果归属某企业专线，上面托管网站数量少，反查结果参考价值更高。
实际操作有一套比较高效的流程。先用dig解析域名拿到IP，如果解析结果出现CNAME指向CDN，那直接反查IP基本没有意义，需要调取历史DNS记录。如果解析得到源站直连IP，拿这个IP去Shodan或者Censys读取证书，证书内域名信息往往有收获。接着用ViewDNS或者站长工具同IP查询做补充。最后查询WHOIS确认IP归属，判断是共享IP还是独立IP。整套流程走完，大部分场景都能摸清基础情况。
CDN是IP反查最大干扰项。域名解析到CDN之后，查到的IP只是边缘节点地址，不是源服务器IP。反查这个边缘IP，返回的域名列表属于CDN其他客户站点，和目标无关。想要绕过CDN拿到源站IP，可以从邮件头、子域名、历史DNS记录、SSL证书等侧面信息入手。邮件头经常携带发信服务器真实IP；部分子域名没有接入CDN；历史DNS记录能找到接入CDN之前的源站解析地址。这些办法没法保证百分百成功，但效果比直接查询CDN节点IP更好。
最后提一点容易忽略的。反查得到的域名不一定还在正常运行，很多是过期域名或者测试域名，解析记录没有清理干净。拿到结果之后，可以简单访问验证，或者查询域名WHOIS状态，确认域名是否处于有效使用状态。不要把一堆失效域名当成有效线索，只会白白消耗时间。