企业官网建设流程全解析

第7章 阶段6：HTTP 探测与价值评估

本篇定位：子域名挖掘流程的第六阶段。前五步从 DNS 层面确认了"有没有这个子域"。但 DNS 存在不等于有价值——一个子域可能解析成功，HTTP 探测返回 404、403、502——这些状态码的挖掘意义完全不同。这一步把"DNS 存活的子域"筛选为"HTTP 层面有价值的目标"。

阅读建议：如果你做过批量 HTTP 探测，可以跳到 7.5 价值分级看分级标准。如果是新手，按顺序读——7.1 到 7.4 是四道探测工序，7.5 把探测结果汇总成分级。

7.0 方法论框架

HTTP 探测在全局流程里的位置：

阶段5：DNS 清洗（可信子域 + IP 列表） ──→ 【阶段6：HTTP 探测与价值评估】 ──→ 阶段7：输出与监控 │ ├── 探测策略（协议、方法、顺序） ├── 状态码语义（判断服务状态） ├── 重定向链跟踪（发现新子域） ├── TLS 证书二次分析（发现新子域） └── 价值分级（高/中/低/信息/CDN 后）

什么是 HTTP 探测

HTTP 探测（HTTP Probing），指的是对清洗后的子域名做 HTTP/HTTPS 请求，根据响应判断子域是否"存活"且"有价值"。

为什么在最后

关键认知：DNS 存在不等于有价值。一个子域名 DNS 解析成功，但 HTTP 探测可能返回 404（空站）、403（禁止访问/WAF）、502（后端故障）、301（重定向到别处）。HTTP 探测的价值是"从 DNS 存活筛选到 HTTP 有价值"。

四个环节概览

探测的本质

前五步解决"有没有这个子域"，这一步解决"值不值得打"。价值分级是这一步的核心输出——不是所有子域都值得深入，分级帮你分配精力。

7.1 探测策略

前置知识

HTTP 请求方法回顾

HTTP 请求方法（HTTP Method）告诉服务器客户端要做什么：

HTTP/HTTPS 回顾

基础知识05讲过 TLS 基础——HTTPS 是 HTTP over TLS，在 HTTP 下面加了一层加密。探测时要同时考虑 HTTP 和 HTTPS——有些子域只开 HTTP（没配证书），有些只开 HTTPS（HTTP 自动重定向到 HTTPS）。

是什么

决定用什么协议（HTTP/HTTPS）、什么方法（GET/HEAD）、什么顺序探测清洗后的子域列表。

为什么

不同策略的覆盖面和效率不同：

怎么做

三种策略对比：

推荐策略：http-first——先 HTTP，自动重定向到 HTTPS。覆盖面最广。

技巧

注意事项

7.2 状态码实战语义

前置知识

HTTP 状态码分类回顾

HTTP 状态码（Status Code）是服务器响应的第一行数字，表示请求结果：

是什么

从 HTTP 状态码判断子域的挖掘价值——是正常服务、管理后台、还是空站。

为什么

状态码暴露了服务状态：

怎么做

2xx（成功）：

3xx（重定向）：

4xx（客户端错误）：

5xx（服务端错误）：

技巧

注意事项

7.3 重定向链跟踪

前置知识

HTTP 重定向机制

HTTP 重定向（Redirection）是服务器告诉客户端"你要的资源不在这里，去那个地址"。机制是服务器返回 3xx 状态码，在响应头Location字段里写上新地址。客户端按Location重新请求——可能又是一轮 3xx——形成链条。

重定向链概念

重定向链（Redirect Chain）是指一连串的 3xx 重定向：A → B → C → D。链条的起点是原始 URL，终点是最终返回非 3xx 的页面。链条中间的每一跳可能是一个新子域。

关键认知：重定向链是 HTTP 探测里"被动发现新子域"的机会。原始子域old.example.com可能重定向到new.example.com——new是之前没发现过的子域。跟踪链条的每一跳，从 Location 头里提取子域名，是 HTTP 探测的副产物。

是什么

跟踪 3xx 重定向链，从链条中间节点的 Location 头里提取新子域名。

为什么

重定向链可能暴露新子域——A 重定向到 B，B 是未发现的子域。常见场景：旧域名重定向到新域名、HTTP 重定向到 HTTPS、未认证重定向到登录页、子域名重定向到主站。

怎么做

第一步：自动跟随重定向

配置 HTTP 客户端自动跟随 3xx 重定向，记录每一跳：

第二步：记录每一跳的 URL

从每一跳的 Location 头里提取 URL，解析出子域名：

第三步：从中间节点提取子域名

把发现的新子域加入已有列表，进入阶段4进阶发现做递归。

技巧

注意事项

7.4 TLS 证书二次分析

前置知识

TLS 证书回顾

基础知识05讲过 TLS 基础——HTTPS 握手时服务器返回证书，证书里有 SAN（Subject Alternative Name）列表，列出这张证书覆盖的所有域名。

SAN 二次发现概念

阶段2被动发现用 CT Logs 查证书 SAN——查的是公开证书日志里历史签发的证书。这里做的是 HTTPS 握手时实时拿证书——查的是当前服务器实际使用的证书。两者数据来源不同：

CT Logs 覆盖历史所有证书，TLS 握手只拿当前证书——为什么要再查？因为有些证书不在 CT Logs 里（自签证书、内部 CA 签发的证书、未提交到 CT 的证书），只有 HTTPS 握手时才暴露。

自签证书与证书过期

关键认知：TLS 证书二次分析的核心价值是发现"CT Logs 没有的证书"。自签证书和内部 CA 签发的证书不在公开日志里，只有 HTTPS 握手时才暴露——这些往往是内部服务，价值更高。

是什么

在 HTTP 探测时分析 HTTPS 握手返回的 TLS 证书，从 SAN 列表里发现新子域。

为什么

TLS 握手能发现 CT Logs 覆盖不到的证书——自签证书和内部 CA 证书。

怎么做

第一步：抓取 HTTPS 响应的证书

对每个开 HTTPS 的子域做 TLS 握手，抓取服务器返回的证书。

第二步：提取 SAN 列表

从证书的 Subject Alternative Name 字段提取所有域名：

第三步：对比已有子域列表

技巧

注意事项

7.5 价值分级体系

前置知识

攻击面概念

攻击面（Attack Surface）是指一个系统暴露给攻击者的所有入口点。子域名是攻击面的一部分——每个子域可能暴露不同的入口：登录页（可爆破）、API 接口（可测注入）、管理后台（高权限）、静态资源（低价值）、调试页面（信息泄露）。价值分级就是评估每个子域暴露了什么类型的攻击面。

是什么

根据探测结果（状态码 + CNAME + IP 归属 + 标题）对子域做价值分级，帮你分配精力。

为什么

不是所有子域都值得深入。100 个 DNS 存活的子域里，可能只有 20 个是高价值目标。分级帮你把精力集中在高价值目标上，不在低价值目标上浪费时间。

怎么做

五级分级：

判定矩阵（状态码 × CNAME 类型 × 标题关键词 → 等级）：

技巧

注意事项

7.6 阶段输出

输出1：带价值分级的子域列表

输出2：高价值目标清单

输出3：CDN 后资产清单

输出4：新发现子域

7.7 与其他阶段的衔接

输出流向

带价值分级的子域列表 ──→ 阶段7：输出与监控（归档） 高价值目标清单 ──→ 阶段7：输出与监控（重点跟踪） CDN 后资产清单 ──→ 后续 CDN 绕过章节 新发现子域 ──→ 阶段4：进阶发现（回路，做递归）

新发现子域的回路

HTTP 探测可能发现新子域——重定向链和 TLS 证书 SAN 都是新子域的来源：

清洗没解决的问题

CDN 后资产的去向

CDN 后资产在 HTTP 探测阶段只能标注——IP 是 CDN 的，看不到真实后端。后续的 CDN 绕过方法（历史 DNS、邮件服务器、子域名接管等）留到专门的章节。

关键认知：HTTP 探测是流程里"从存报到有价值"的转折点。前五步收集的是"DNS 层面的资产清单"，HTTP 探测把它变成"HTTP 层面的攻击面清单"。价值分级后的高价值目标清单，才是真正进入漏洞挖掘阶段的起点。

下一篇：第8章——踩坑实录，实战中的陷阱与预防。