二级域名看着简单，但实操的时候不少人容易搞混，先把它和主域名之间的关系理顺。一个完整域名要从右向左读，最右侧是顶级域，像.com、.cn、.org这类。往左一段就是主域名，也叫一级或者根域名，例如example.com。在主域名前面再加一段自定义前缀，就形成二级域名，blog.example.com、shop.example.com、api.example.com都是例子。前缀可以自己设定，层级数量也能增加，日常所说二级域名，一般就是紧贴主域名左侧的那一段。
主域名和二级域名的管理权限不一样。主域名要在域名注册商处注册，每年续费，所有者信息可以在WHOIS数据库查到。二级域名不用单独注册，也不需要额外付费，是在主域名对应的DNS解析设置里面创建的。登录域名控制面板新增A或者CNAME记录，主机记录填写blog，记录值指向服务器IP，blog.example.com这个二级域名就能生效。只要DNS服务商支持，能创建的数量没有硬性上限。部分服务商对解析记录数量有限制，免费套餐可能只开放十条或者二十条，付费套餐限制会宽松很多。
二级域名的使用场景很多。企业官网把博客板块放在blog子域名，电商业务部署在shop子域名，API接口使用api子域名，测试环境用test或者staging。这么操作是把不同业务模块拆分到独立子域名，每一个子域名都能指向不一样的服务器、独立IP，互相不会干扰。就算主站服务器宕机，博客依旧能访问，因为解析指向另一台设备。做SEO的从业者也会借助二级域名布局关键词，比如装修业务使用zhuangxiu.example.com，旅游业务使用lvyou.example.com，搜索引擎会把二级域名视作相对独立的站点。
二级域名和子目录并不是同一个东西。子目录形式是example.com/blog，路径写在域名的后面。二级域名是blog.example.com，自定义前缀放在域名前面。搜索引擎看待两者权重的方式不同，二级域名独立性更强，权重单独计算。子目录会继承一部分主域名权重，新板块上线更容易获取排名。具体选用哪一种要看需求。全新业务板块，主题和主站差距较大，适合二级域名。如果只是主站原有内容的延伸，子目录更利于权重集中。
查找二级域名有多种办法。证书透明度日志，也就是Certificate Transparency Log，是最直接的方式。这份公开日志保存所有SSL证书签发记录，打开crt.sh网站输入主域名，页面会列出所有为此域名及其子域名签发过证书的记录，证书内出现的域名，就是对应的二级域名。安全评估场景经常用这个手段，能够找到不少没有对外公开的二级域名。短板是只能捕获配置HTTPS、签过证书的域名，没有部署HTTPS的二级域名不会被收录。
SecurityTrails是另一款工具，主打DNS历史记录查询。填入主域名，就能查看当前以及过往的各类DNS记录，A记录、AAAA记录、MX记录、NS记录都会展示，同时附带子域名列表，支持导出。部分功能需要付费，免费额度足够个人使用。VirusTotal也具备同类能力，输入域名之后切换到关系标签页，查看关联子域名。这款工具数据源更广，除DNS记录之外，还整合爬虫抓取内容和用户提交数据。
国内渗透测试从业者经常使用OneForAll、Subfinder这类工具。OneForAll属于开源工具，运行后自动调用多个数据源收集子域名并完成有效性验证。Subfinder由ProjectDiscovery开发，轻量、运行速度快，适合批量扫描。两款工具都需要在命令行执行，普通用户上手门槛偏高。不想安装程序，仅需要单次查询域名子域名，Layer子域名挖掘机是图形化备选，输入域名点击扫描，直接展示结果清单。
搜索引擎高级检索语法同样可以利用。百度或者Google搜索框输入site:example.com，返回结果里会出现所有被收录的二级域名。这个方法上手简单，但覆盖范围有限，没有被搜索引擎爬虫抓取收录的子域名无法检索。搭配检索语句site:.example.com有时能额外找到几条，不同搜索引擎返回结果存在差异，可以多尝试。
查询自己名下域名的二级域名，登录DNS控制面板最为准确。全部解析记录都保存在这里，A、CNAME、MX记录对应的主机名一目了然。域名托管在Cloudflare、DNSPod、阿里云DNS这类平台，控制台解析列表就是完整的子域名清单。其他人查询你的域名，就使用上面提到的外部工具，获取结果取决于你的DNS记录是否公开、有没有签发证书、是否被爬虫抓取。
检索他人域名的二级域名，操作方案随使用目的变化。竞品分析，查看对手业务线，crt.sh搭配SecurityTrails基本够用。安全资产测绘，想要拿到尽可能完整资产清单，就要同时运行OneForAll、Subfinder、搜索引擎检索、证书日志查询，交叉比对结果。找回自己遗忘的子域名，直接打开DNS控制台，效率最高。
有一点需要区分，二级域名不等同于泛解析。泛解析是添加一条星号记录，比如.example.com指向某一个IP，代表任意前缀的二级域名都会解析到这个地址。这种配置下，随便输入一个不存在的二级域名abc123.example.com，页面也可以正常打开。但这不代表abc123这个二级域名真实创建，只是匹配上泛解析规则。扫描子域名时看到大量杂乱前缀，大概率是泛解析带来的假象，需要结合其他信息核验。
二级域名本身不难，查询手段也比较多。核心是明确查询目标和用途。自己管理域名，DNS控制台是最权威来源。分析外部域名，证书日志加DNS历史记录可以覆盖大部分场景。安全评估场景，自动化工具搭配手动检索一起使用。工具会迭代，查询方式会更新，但底层逻辑不变：子域名本质就是DNS记录，找到对应的记录，就能定位子域名。