一.
在百度或者goole中输入关键字site:domain 收集子域名信息
二.
(1)
在站长工具同查询同一ip的所有子域名 http://s.tool.chinaz.com/same?s=www.nanshan.edu.cn&page=
(2)
ip反查域名
http://dns.aizhan.com/www.nanshan.edu.cn/ (有的时候貌似进不去)
三.
暴力破解工具fierce
kali linux里面自带工具
输入fierce -h 查看说明文档
例如:输入 fierce -dns domain 即可破解出域名下的子域名
上例中没有指定字典，在默认情况下在Kali中使用 /usr/share/fierce/hosts.txt
fierce参考网址：http://www.myhack58.com/Article/html/3/8/2015/64579.htm
fierce支持自定义字典，我们可以创建一个自定义的DNS域名字典myDNSwordlist.txt，将一些常用的字段输入进去。
# vim myDNSwordlist.txt
a.auth-ns
accounting
accounts
admin
administracion
administrador
administrator
education
static
write
上面只是一些例子，可以自己添加更多的字段，以增加破解的可能性。使用时加上选项”-wordlist“即可，例如：
# fierce -dns blog.csdn.net -wordlist myDNSwordlist.txt
运行结果如下：
从结果上看，”write“字串命中！
3. 进一步测试
使用nmap进行特定目标扫描：
# nmap -vv -o -sS -A -p- P0 -oX test.xml 106.1**.**1.40
对65535个端口枚举进行暴力扫描，这根据具体环境需要一定时间，从目前来看Web服务端口80和https的端口443是开放的。扫描的结果会存储在test.xml中，可以导入MagicTree进行管理。
fierce参考网址：http://www.myhack58.com/Article/html/3/8/2015/64579.htm