查域名注册人与实际运营方时，用…

当你需要判断一个域名是谁注册、谁在运营（钓鱼取证、品牌侵权下架、UDRP 证据、付款前供应商核验、基础设施归因）时，用 RDAP/WHOIS 加 DNS 被动查询交叉验证。

适用场景

解决思路

1. 按手头线索选起点：只有域名先查 RDAP 再查注册商 WHOIS；WHOIS 被隐去则查历史 WHOIS 加被动 DNS；怀疑是批量域名之一则看 NS 对、MX 和反向 WHOIS；只有 IP 先查 RIR 的 IP RDAP 再查 ASN；ccTLD 用该注册局自己的 WHOIS/网页服务；新注册域名看创建日期、注册商和 NS。
2. 优先用 RDAP 而非 WHOIS：RDAP 是 HTTPS 上的 JSON，有真正的 HTTP 语义（404 表示无此对象、429 表示被限流），并支持 domain、nameserver、entity、IP、ASN 的独立端点。用 bootstrap 重定向或直接查注册局：curl -s https://rdap.org/domain/example.com | jq . ；curl -s https://rdap.org/ip/203.0.113.10 | jq '.name, .handle, .country' ；curl -s https://rdap.org/autnum/64500 | jq '.name, .entities'。
3. 解读 RDAP 关键字段：events 里的 registration、expiration、last changed、transfer（注册很久后才出现 transfer 说明当前注册商记录从那时才开始，更早的只在历史 WHOIS 里）；entities[].roles 的 registrant、technical、abuse、registrar（registrar 实体的 IANA ID 在 publicIds 里）；status 的 EPP 码（clientTransferProhibited 属常规，clientHold 是注册商把域名从 DNS 摘除，serverHold 是注册局摘除通常涉法律或执法，redemptionPeriod 和 pendingDelete 表示即将过期可注册）；nameservers 和 secureDNS 反映运营方指纹与 DNSSEC 状况。
4. 对 .com 和 .net 要同时查注册局和注册商：注册局是 thin 模式，只返回注册商、日期、状态和 NS；联系人信息来自注册商自己的服务器。两者不一致时，日期和转移以注册局为准，联系人以注册商为准。
5. 认清脱敏到底去掉了什么：gTLD 政策下 registrant 姓名、街道、电话、邮箱通常被替换为转发地址或网页表单；仍保留且可强力 pivot 的有注册商及其 IANA ID、reseller 字段、创建/更新/过期/转移日期、NS、DNSSEC 状态、EPP 状态码、registrant 的州/省和国家、部分保留的 registrant organization（法人实体），以及从不脱敏的注册商 abuse 联系人（报告应走这里）。
6. 区分注册商（ICANN 认证方，如 Tucows、PDR、Namecheap）、实际售出域名的 reseller，以及出现在 registrant 字段、以自己公司名和司法辖区示人的隐私服务；隐私服务的身份本身就是线索，说明你处在哪个注册商生态、披露请求该发往哪里。
7. 做 DNS 查询：dig +short example.com A; dig +short example.com NS ；dig example.com MX +noall +answer ；dig example.com SOA +noall +answer（RNAME 邮箱，serial 常为 YYYYMMDDnn）；dig example.com TXT +short（SPF 与验证 token）；dig _dmarc.example.com TXT +short ；dig google._domainkey.example.com TXT +short ；dig example.com CAA +short ；dig -x 203.0.113.10 +short。不要基于 ANY 构建流程，多数权威服务器现在只回最小或合成响应。
8. 从各类记录中提取线索：TXT 是组织 SaaS 资产的公开清单，MX 指向邮件安全厂商，DMARC 的 rua 指向其 DMARC 报告厂商，CAA 指向其选定的 CA；SPF include 主机、DKIM selector 和 TXT token 到具体厂商的映射见 reference/vendor-fingerprints.md，各记录类型解读见 reference/dns-record-types.md。
9. 查 IP 与 ASN：whois -h whois.cymru.com " -v 203.0.113.10"（ASN、前缀、国家、AS 名）；whois -h whois.radb.net -- '-i origin AS64500'（该 AS 路由的前缀）。RIR 记录给出 netblock 持有者；若是托管商或云区域则对归属毫无帮助，共享 IP 把域名和成千上万无关租户耦合在一起，"同 IP" 不能作为归因证据；只有当 RIR 记录显示已 reassign 或 sub-allocate 给具名客户，或该网段很小且组织名就是目标时才算证据。
10. 理解 PTR：PTR 由控制该 IP 的一方设置而非域名所有者；云会按地址机械生成 PTR，只说明平台；托管和企业网段常带客户名，围绕已知主机走一遍 /24 的 PTR 可能拿到整个机架。
11. 查历史 WHOIS 与被动 DNS：脱敏从某一时点开始，之前抓取的数据库仍保有姓名、邮箱、电话；被动 DNS 保留所有观察到的应答，可拿到该 zone 已不再提供的 IP 和主机名。问三个问题：registrant 字段在转私密前是什么、还有哪些域名共用该 registrant 邮箱或姓名（反向 WHOIS）、该域名历史上解析到哪些 IP。DomainTools、SecurityTrails、WhoisXML、Validin、Silent Push 和 VirusTotal 的域名报告各含部分数据，多数把有用深度锁在付费 key 后。
12. 区域传送与 zone walking 属主动行为：dig AXFR example.com @ns1.example.com 向 NS 要整个 zone，是对目标控制基础设施的交互式 TCP 请求、会被记录，仅限授权范围内使用且预期被拒；用 NSEC 而非 NSEC3 签名的 zone 可被遍历枚举所有名字，NSEC3 哈希可离线破解，两者都需直接查询权威服务器。需要保持被动时改用 find-hidden-subdomains。
13. 避免常见误判：registrant 是占位符（批量注册商、reseller、隐私服务、企业注册商都会写自己的信息，跨域名相同的 registrant 字符串可能是一个所有者也可能是一个 reseller）；日期会骗人（过期后被重新注册的域名在注册局会重置创建日期，长档案历史加近期创建日期意味着域名经 drop 易主）；DNS 有缓存和伪装（应答是 TTL 范围内的快照，厂商按地理、按解析器、按你永远看不到的 split-horizon 视图返回不同记录，一个解析器只是一个视角）；SPF 和 TXT 会腐烂（出现在 SPF 里只说明"曾配置"，验证 token 几乎从不清理）；MX 和 NS 是外包的（只标识厂商，只有当特定分配的 NS 对或邮件租户标签跨域名重复出现时才是归属信号）；停放域名只显示注册商 DNS 和市场 IP，没有所有者基础设施可查；抢注者会整体照抄目标的 SPF 和 MX 以显得合法，镜像记录不构成关系。
14. 按置信度分级：Confirmed——注册局或 RIR 直接声明且非联系人字段（创建日期、注册商、EPP 状态、NS、netblock 持有者），或未脱敏 registrant 被第二个独立来源（公司备案、历史快照、存档页面）佐证；Probable——跨域名出现独特共享指纹（同一分配的 NS 对、同一邮件租户标签、同一 DKIM key、同一 CAA accounturi、同一异常 TXT token），同一运营方很可能同一所有者；Unconfirmed——共享托管上的共享 IP、共享注册商、共享公共 DNS 厂商、可能是 reseller 的 registrant 字符串，以及任何你未见过原始记录的历史数据库数据。
15. 始终记录查询时间戳和应答服务器：没有检索时间的 WHOIS 记录不构成证据。
16. 遵守法律与 ToS：批量 WHOIS 访问受合同限制，注册局和注册商禁止用于营销或构建可再分发数据库，并以限流和封禁执行；RDAP 支持差异化访问，经审核的认证请求者能看到更多，该审核正是为防止个人数据被匿名批量收集；从历史数据库取得的脱敏前 registrant 数据在 GDPR 下仍属个人数据，需有合法依据并遵守 ETHICS.md 中的最小化规则；未经书面授权的 AXFR 可能构成未授权访问。
17. 需要安静时通过公共递归解析器或被动 DNS 解析，因为针对目标自身 NS 的 dig 会落入目标的查询日志。
18. 按线索继续 pivot：子域名与共享证书上的兄弟域名走 find-hidden-subdomains；IP、网段、ASN 走 find-exposed-servers；registrant 邮箱、邮件厂商、转发地址走 what-an-email-reveals；registrant 组织、隐私服务司法辖区走 who-really-owns-it、x-ray-a-company；脱敏前快照里的 registrant 电话走 whose-number-is-this；恢复出的 IP 和主机名上的历史内容走 read-deleted-pages；已发现主机名上被索引的文件走 google-like-a-spy；把一批域名、IP 和 registrant 铺开走 graph-the-network。

适用边界 · 注意事项

• 仅凭共享 IP 或共享托管就断定归属——共享 IP 把域名与成千上万无关租户耦合，不构成归因证据。
• 把 MX/NS 直接当作所有权信号——它们只标识外包厂商，除非特定 NS 对或邮件租户标签跨域名重复出现。
• 在未获书面授权时对目标 NS 执行 AXFR 或 zone walking——属主动行为、会被记录，可能构成未授权访问。