一个 test 开头的域名，挂了两年

整理资产的时候翻出来一个 test 开头的子域名，居然还解析着，打开是当年的调试页面，报错信息里连数据库连接都露出来了。主站做得再严，这个口子照样能进。

子域名的问题大多不是「被攻破」，而是「被遗忘」。

风险集中在三类子域名

测试和预发布环境，防护通常比生产环境松，默认口令、调试开关、开放端口都容易留在上面。

老业务下线了，解析记录没删，指向的机器早就换了主人。

还有一类更隐蔽：CNAME 指到第三方服务，对方一旦释放那个地址，别人就能把这个子域名接管过去。前两类是配置疏忽，这一类属于供应链风险。

宝塔拨测控制台：定时拨测任务、节点与告警配置

宝塔拨测控制台：定时拨测任务、节点与告警配置

先把解析指向查清楚

A、CNAME、NS 记录逐个过一遍。CNAME 指到对象存储、SaaS、CDN 的，要确认对方那边资源还在、控制权还在你手里。

指向已经下线的域名，是最典型的接管风险。这类记录在后台看起来一切正常，只有从解析结果去核对才能发现。

从外面看，究竟打开了什么

解析通不代表服务正常。用宝塔拨测的控制台对每个子域名做外部探测，看 HTTP 状态码和响应情况。

200 的默认页、401 或 403 的登录框、404 的残留路由，含义完全不同。登录框意味着有一个可被爆破的入口，默认页意味着部署没做完整，目录列表更是直接暴露文件结构。

端口也要一起看。有些测试域名只开放了 Web 端口，有些把管理端口、数据库端口一起挂在公网上，这类暴露比页面问题严重得多。

用定时拨测盯住变化

子域名最危险的状态是「悄悄变了」：证书过期、跳转到陌生地址、状态码从 404 变成 200。这些靠人工巡检根本发现不了。

我会把关键子域名配成定时拨测任务，按周期从多个地区、多个运营商的节点访问，状态码、响应时间、证书状态有异常就告警。

告警阈值别设太敏感。响应时间正常波动很常见，阈值太紧，天天被叫醒，最后就没人看了。

处置完要复测，别只信本地

发现可疑项，先确认是不是自己人改的。不是自己改的，按风险高低处理：下线解析、加访问控制、限制来源 IP、关掉调试模式。

改完用同一批节点复测，确认外部确实访问不到了，再观察一段时间。本地能访问或不能访问，都说明不了公网的状态。

该警惕的信号有几种：子域名突然返回 200、证书域名对不上、CNAME 指向不认识的服务、同一批节点里只有部分地区能打开。凑齐两条，就值得当成安全事件来查。