2026 年 9 月 4 日凌晨，我在给一个客户做资产梳理。
机器跑完后，我照惯例多看了一眼中途的日志。有一行不太对。
一个二级域名，泛解析被打开过两次。一次在 8 月 24 日，一次在 8 月 27 日。中间间隔三天。
客户的 DNS 记录里，这几天什么都没变。
如果只看表层的查询结果，这个二级域名算是"干净"的。但日期卡在那里，就是不舒服。
先从证书日志往回倒
我先跳到 crt.sh，按根域检索。这个工具对二级域名追溯很实用，只要有人为它签过证书，基本会留下指纹。
筛到第 3 页，看到一条 8 月 24 日下午的签发记录。签发者是 Let's Encrypt，域名是 admin.gateway.客户的根域，通过 HTTP-01 验证。
HTTP-01 意味着签证书的那台机器能对外提供文件访问。也就是说，这个二级域名在那个时间点是可解析的、可达的。
我把这个二级域名复制给同事李锐，让他帮我从外部再确一遍。他十分钟后回了两个字：活着。
把范围收窄到 IP 段
二级域名单独看很容易误判。真正能定位问题的是它落到哪个 IP 上。
我把它解析了三遍，间隔五分钟。得到两个不同的 IP，都在同一个 /24 段里。这一段不属于客户名下。
到这里基本可以确认：有一个二级域名被临时挂到客户根域下，指向了外部 IP。证书签发的动作说明，是有人在用。
至于用途，还看不出来。那个页面上只放了一个默认的 nginx 欢迎页。
二级域名的麻烦不在"多"，在"活"。活着的才有历史，死掉的只是噪音。
为什么这类查询容易做成"清单"
市面上不少工具给出来的结果，是一张几百行的表。IP、域名、状态、时间，全都对齐得很漂亮。
真正难的是判断哪一个值得翻进去。我的习惯是先按"最近 14 天有动作"过滤，再看签发或解析是否出现过 IP 漂移。
这两条筛下来，几百行往往只剩个位数。剩下那几个，才值得手工追。
这次追到的这个 admin.gateway 二级域名，就是走这条路径留下来的。
后续我们做了封禁和告知，客户的安全团队说，很可能是某次测试遗留。真假不好判断，但域名确实在那几天里活过。
顺带说一句
同一周我还翻到几条站内老笔记，顺手补了索引。比如 湿透の避雨日语 番剧 那条，是我年初写的一个抓取练习，用到的字符串切分思路和这次拆二级域名其实是一回事。还有 蜜桃cc片 那条，当时记的是如何判断一个页面是不是动态生成的，跟这次判断二级域名是否"活过"的逻辑几乎一样。
最近把以前零散的记录——包括 重生之征服者郭师母无删减 那条——一起按时间重新排了一遍。规则很简单：能复现的留下，跑不动的删掉。
说实话，我不太喜欢把二级域名查询写成"自动化大屏"的样子。多数时候它就是一个耐心的活。一个一个翻，翻到那个不该出现的名字。
今晚这个，就是翻出来的。