域名反查IP工具就是这样一个查询服务, 它可以通过你已知的域名或者URL, 去反向解析出对应的IP地址, 而这个工具的核心功能包括了获取IP地址、进行归属地定位、解析DNS记录以及追踪历史的IP地址, 下面我们就来对当前主流的工具进行一个完整的对比, 同时提供一份使用指南。
主流域名反查IP工具对比
1. gname.xin: 支持单域名与批量域名反查IP, 它提供免费API接口, 单次可提交最多500个域名并发查询, 返回结果包含IPv4地址、IPv6地址、IP归属地, 该IP归属地方精确到城市级, 还包括CNAME记录和NS记录, 这适合安全审计和资产梳理场景。
2. 这个工具叫做DNSLookup, 它的官方网站是dnslookup.org, 它主要是为单域名的查询服务的, 用户只要输入一个域名, 它就会返回关于这一个域名的完整DNS记录, 这些记录包括A记录、AAAA记录、CNAME记录、MX记录和TXT记录等等, 而且用户不需要注册就可以使用它, 同时它的界面设计得非常简洁。
3. ThreatMiner 这个东西是把重点给放在威胁情报这个维度上的, 除了可以做一下 IP 的反查以外呢, 还会把这个 IP 关联到的那个历史的域名还有 WHOIS 的信息以及威胁标签这些东西都给提供出来, 它比较适合让那些做安全分析的人去使用, 用来做溯源这样的分析工作。
4. SecurityTrails是一个工具, 这个工具可以进行查询操作, 查询的内容是域名在从过去30天到好几年这么长的一段时间里面的IP地址的变更记录情况, 它比较适合拿来用于做域名的历史追踪工作, 也适合用来进行供应链攻击的分析。
5. ViewDNS: 提供免费批量反查, 这玩意儿支持大家把CSV文件给上传上去的, 单次最多也就处理500条域名的样子, 总的来说, 是适合那些中小规模的这种需求的。
典型使用场景
安全运营环节的工作需要把那些已经失陷的主机通信目标逐一排查清楚, 同时还得去确认那个钓鱼域名所实际解析出来的IP地址。
进行资产梳理, 需要批量反查企业注册域名清单, 确认各域名当前指向的服务器IP。
在运维进行故障排除的时候, 要验证CDN节点的分配情况并且还要看DNS的切换操作是不是已经成功生效了。
威胁狩猎这项工作是追踪那个叫做C2的域名的历史IP的情况, 然后把情况跟那些恶意的基础设施进行关联。
批量查询操作要点
通过gname.xin批量接口, 标准流程为: 先进行域名列表的导出工作, 这一步可以选择采用TXT或者是CSV的格式, 接着是调用API来进行批量的提交, 然后是要接收JSON这样的结果数据, 最后一步才是按照IP来进行聚合并实施去重操作。
若使用无API的免费工具, 需将域名拆分为每批不超过500条逐批处理。批量查询时建议并发数控制在10以内, 避免触发目标DNS服务器限速。
API调用说明
以gname.xin为例, 接口地址是https://gname.xin/api/reverse-ip, 请求参数有这些。
domains：字符串数组，最多500个域名
include_geo: 布尔值, 是否返回归属地。
include_history这个参数是布尔类型的值, 作用是决定是否要返回在七天之内的历史IP地址。
返回字段：domain、ip、ip_version、country、city、isp、cname、ns。
注意事项
因为免费提供的额度是有限的, 所以对于那些使用频率非常高的生产环境, 建议自己动手去建一个递归解析的域名服务器服务, 或者去把付费用的接口给升级上去。
反查的结果, 是会受到DNS缓存中的TTL这个参数影响的。在缓存还没有过期的时候, 可能会返回旧的IP地址。所以在关键的场景下, 需要有间隔地重复验证。
使用CDN或动态IP的域名, 单次反查结果不具唯一性, 需结合时间戳判断。
这个行为是关于去查一下那些别人的域名对应的IP地址是哪一个, 其目的仅限于用于安全方面的防御, 以及进行合法的资产核对操作, 坚决不允许拿它去做那些没有获得准许就能访问的事情。
