📍 WDQWDWQD987AAAAA:216.73.216.218
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /47598ad14a95.html
📄

IP反查域名：检查前需要准备哪些信息

做IP反查域名之前，至少要准备好目标IP、查询目的、时间范围、对照样本和记录工具这五类信息。缺少其中任何一项，结果都容易变成一堆无法验证的域名列表。下面按可执行清单展开，每项说明查什么、怎么查、结果能说明什么。

目标IP：先确认要查的是哪一个地址

要查的是单个IPv4、单个IPv6，还是一段CIDR网段，必须先写清楚。IPv4和IPv6的反查记录结构不同，混在一起查会得到不完整的结果。

• 查什么：目标IP的完整写法，例如203.0.113.10或2001:db8::1；如果是网段，写成203.0.113.0/24。
• 怎么查：在本地用ping、nslookup或抓包记录确认实际连接的地址，不要只凭记忆填写。
• 结果说明什么：地址确认后，才能判断后续反查结果是“同一台主机上的多个站点”还是“同一网段内不同主机的站点”。

如果IP来自CDN、云负载均衡或共享主机，反查结果往往包含大量无关域名。这时需要额外准备该IP的归属信息，作为筛选依据。

查询目的：决定用哪种反查路径

IP反查域名至少有三种常见路径：查PTR记录、查被动DNS数据、查证书透明度日志。目的不同，准备的信息也不同。

1. 查PTR记录：准备IP即可，用dig -x 203.0.113.10或在线反向解析工具。结果说明该IP是否配置了正式的主机名，但很多IP根本没有PTR，空结果不代表IP未被使用。
2. 查被动DNS：准备IP和时间范围。被动DNS记录的是历史解析关系，适合查“这个IP曾经解析过哪些域名”。
3. 查证书透明度日志：准备IP对应的域名线索或直接按IP检索证书。结果说明哪些域名曾为该IP申请过证书，适合发现同主机上的其他站点。

三种路径的适用条件不同：PTR适合确认基础配置，被动DNS适合追溯历史，证书日志适合发现关联域名。只做其中一种就下结论，容易漏掉信息。

时间范围与对照样本：避免把历史当现状

IP的解析关系会随时间变化。共享主机、云服务器和CDN的IP复用率很高，今天查到的域名可能早已迁走。

• 查什么：准备一个时间窗口，例如“最近30天”或“某个具体日期前后”。
• 怎么查：被动DNS和证书日志通常带时间戳，按时间排序后再看。
• 结果说明什么：同一IP在不同时间段出现不同域名，说明该IP被复用；只有时间戳落在你关心区间内的记录，才适合作为判断依据。

对照样本指的是：准备一个已知属于同一主体的域名，或一个已知无关的域名。用它们验证反查结果是否合理，能快速识别误报。例如假设你已知example.com使用该IP，反查结果却没有它，说明数据源覆盖不全，不能直接采信。

记录工具与核验步骤：让结果可复查

反查结果需要落成可复查的记录，否则无法比较两种处理方案。建议准备一个表格，字段包括：IP、域名、发现时间、数据来源、是否验证。

核验时按以下步骤执行：

1. 对反查出的每个域名，用dig或nslookup查其当前A/AAAA记录，确认是否仍指向目标IP。
2. 对仍指向目标IP的域名，检查其robots.txt和页面内容，判断是否与你关心的站点相关。注意robots.txt的抓取限制不等于索引移除，两者是不同机制。
3. 如果涉及站点归属判断，可查该域名的WHOIS和证书信息作为辅助，但WHOIS隐私保护会降低可用性。
4. 把已验证和未验证的记录分开标注，未验证的不要写入结论。

两种处理方案的比较依据就在这里：方案A只查PTR，速度快但覆盖窄；方案B结合被动DNS和证书日志并逐条核验，耗时长但结论可靠。适用条件是——只需要确认基础反向解析时用方案A；需要判断IP上托管了哪些站点、或做关联分析时用方案B。

检查项清单

• 目标IP是否完整且格式正确。
• 查询目的是PTR、历史解析还是证书关联。
• 时间范围是否明确，结果是否带时间戳。
• 是否有对照样本验证数据源覆盖度。
• 每条结果是否经过当前解析记录复核。
• 未验证记录是否与已验证记录分开存放。

下一步：选定一个目标IP，按上面的清单先填好目的和时间范围，再分别跑一次PTR查询和一次被动DNS查询，把两组结果按“已验证/未验证”整理成表，然后判断你的场景更适合方案A还是方案B。