用IP查域名这件事，本质上是查这个IP地址上绑定了哪些网站，俗称“IP反查”，最直接的方法是借助在线反查工具（比如YouGetSignal、ViewDNSInfo）或命令行工具（比如nslookup、host）获取反向解析记录，但要想查得全，还得结合证书透明度日志和搜索引擎缓存。
很多第一次接触这个需求的朋友,往往是被一种“只能靠工具”的思维困住了，搞懂底层原理之后，你自然就知道哪个环节用哪个工具最顺手。
为什么用IP查域名，查得到但又查不全？先弄懂这个原理
根因在于DNS解析是单向的
域名解析到IP,是DNS系统的核心功能，但你让服务器根据IP返回域名，这就不再是标准的“正向解析”了，而是依赖PTR记录（反向解析记录），大多数普通网站空间和云主机，压根没配置PTR，所以单纯靠系统查询，大概率只返回一串主机名（比如ip-xxx.ec2.internal），而不是你想要的真正域名。
行业共识认为：能用IP查到的那部分域名，多半是主动配置了反向解析的邮件服务器或企业官网，剩下的，得靠外部数据积累。
真正的“IP反查”靠的是数据库碰撞
既然系统查不到,在线工具是怎么做到的呢？答案是被动DNS数据库，它们常年抓取全网DNS请求日志、证书颁发记录、SSL证书中的域名列表，然后把这些域名解析到的IP地址记录下来，整理成一张“IP到域名”的大宽表，你输入IP，它直接查表，有记录就返回。
这就意味着,查不全才是常态，一个IP上可能跑了1000个网站（虚拟主机），但数据库只收录了其中访问量最高的那几十个，理解了这一层，你对后面哪些数据该信、哪些该怀疑，就有底了。
命令行查IP绑定域名，Linux和Windows都能用的方法
不想打开网页,平时习惯待在终端里做事的朋友，可以试试下面这几招。
第一招：nslookup，最朴素但别指望它查全
Windows、macOS、Linux都自带，打开终端，输入：
nslookup -type=PTR 8.8.8.8
这里把8.8.8.8换成你目标的IP，返回的name = dns.google就是PTR记录，但请注意，这只能看到一条官方反解记录，如果这个IP上绑了多个域名，这儿只会出现一个，说白了，这是系统层面的标准结果，不是工具层面的“反查结果”。
第二招：host命令，Linux下更方便
Linux系统上,host命令更直观一些：
host 8.8.8.8
回车后直接会输出
8.8.8.in-addr.arpa domain name pointer dns.google，跟nslookup的结论差不多，适合快速确认这条IP有没有反解。
第三招：dig -x，适合批量脚本调用
运维场景下,要检测几百个IP时，dig是首选：
dig -x 8.8.8.8 +short
它能直接返回域名,不掺杂其他干扰信息，方便你写进Shell脚本里循环处理。
一句话，这三条命令解决的都只是“有没有反向记录”这个判断题，解决不了“这个IP上有哪些域名”这个列举题。 想查全，还得看外部工具。
IP反查域名工具哪个好用？在线服务实测对比
这是做GEO和做安全监测的朋友最关心的问题,我把市面上常用的几款工具按场景都跑了一遍，直接给结论。
| 工具 | 数据源逻辑 | 是否支持批量 | 适合场景 | 备注 |
|---|---|---|---|---|
| YouGetSignal | 反向DNS+被动库 | 否，单个查 | 快速看有哪些站 | 免费，界面老派，数据量中等 |
| ViewDNSInfo | 多源聚合 | 不支持，仅单个 | 查看IP归属地+域名 | 胜在信息全，连带查同主机 |
| dnslytics | 被动DNS老牌库 | 支持部分维度 | 查历史绑定关系 | 数据更新还行，但界面稍复杂 |
| 爱站/站长工具 | 中文站点库 | 支持单IP批量，需登录 | 中文网站反查 | 数据偏国内备案站，漏海外站 |
| Censys / Shodan | 全网扫描+证书库 | 支持API批量 | 深度测绘、安全检测 | 需要注册，非实时查询逻辑 |
我自己实际用的频率排序是：Shodan > Censys > ViewDNSInfo。
理由很简单：YouGetSignal这类工具，数据更新往往慢半拍，删站、换IP之后它会滞后好一阵；而Shodan基于主动扫描，每隔几天就会重新握手一次，凡是暴露了80/443端口的站点，基本都能被它抓到现行，在Shodan首页输入IP，直接切到“DNS Reverse”标签，能看到它自己解析的结果，再切到“HTTP”标签，能看到这个IP最近扫描时返回的网页标题和域名，后者才是真金白银的实战数据。
服务器IP批量查绑定域名，运维场景的高效方案
经常帮人维护服务器或者做漏洞评估的朋友,面对的不止一个IP，这时候还在网页上一个一个粘，效率实在低，我给你整理一条运维老手的工具箱路径
。
证书透明度日志，被低估的宝藏
如果你要查的这个IP上挂着HTTPS证书,那么利用crt.sh（证书透明度日志聚合查询）就是更聪明的路子，虽然它不直接按IP查，但你可以这样交叉验证：
- 先用
nslookup查到这个IP的反解。 - 打开crt.sh，搜反解出来的主域名。
- 在证书列表里找到包含该IP的证书,进而看到这个IP为哪些域名签发了证书。
这个方法能挖出很多被动DNS数据库没收录的冷门子域名,对于查历史绑定域名尤其管用。
批量反查的三种工程化姿势
应对“给100个IP，查出每个上挂了什么站”这种需求：
- 方案A：用Python的
socket.gethostbyaddr()写循环，遍历PTR记录，缺点：查不全，只拿到反解结果，仅适合判断IP是否有主域名。 - 方案B：先筛出TCP/80、TCP/443端口开放的IP，再用
curl -I去抓响应头里的Server和Host字段，然后提取证书里的subjectAltName，这个思路能直接拿到真实域名，代价是要保证带宽和速度。 - 方案C：调用Shodan的
dns.reverse接口，如果你有APIkey，直接批量提交IP列表，一次性返回结果，适合重活，但免费版有查询点数限制。
搜索引擎怎么配合IP查域名？让结果更完整
工具查完了,总感觉漏了几个，这时候我会建议你把搜索引擎也拉进来，当辅助工具使。
利用“非标准端口”和IP直连特征
很多IP上绑定的站点,压根没接入被动DNS库，但它们有个共性：用IP直接访问能返回内容，你可以在Google或百度里搜一句话：
"https://202.108.22.5" 或者 "http://192.168.1.1/~username"
这种搜索词是在拿IP当关键词用,能搜出那些把IP地址写进了内部链接、又没做robots屏蔽的页面，这属于标准反查工具够不到的部分，用来补充视角很好。
中文站点场景下的特殊操作
据工信部统计,中国境内网站数量近年来保持在数百万量级，如果你查的这个IP段是境内机房的，可以在百度搜索框里输入：
IP地址 + 主机屋 或者其他IDC厂商的备案查询入口
很多中文站长工具（比如爱站、站长之家）的IP反查页面，其实覆盖了ICP备案库的域名列表，这个库是全球其他工具没有的，如果你要查的是国内IP，优先用国内工具，数据完整度远高于YouGetSignal。
商业情报流的正确姿势：IP反查域名要避开哪些坑？
这部分是想做竞品分析和找情报的朋友专门写的,你可能以为拿到工具一顿猛查就能有结果，实际会踩三个坑。
第一个坑：CDN让IP查域名失去意义
如果目标域名套了Cloudflare或者简米云CDN,你输入的IP可能只是边缘节点地址，并不是真实源站，这时候反查出来的域名，往往是同一节点上的其他客户网站。解决办法：先想办法绕过CDN找到源站IP，再拿源站IP去反查，否则就是在白忙活。
第二个坑：虚拟主机的“同IP不同命”
一台虚拟主机上放着上万个站,反查工具只返回热门的那几百个，这是数据覆盖度问题，不是工具出错，想要更全的列表，请回到crt.sh看证书，或者用暴力扫描工具（比如httpx）直接遍历该IP的80端口，收据响应内容里的域名。这个操作某些安全工具可以自动完成。
第三个坑：历史数据不等于当前数据
你反查出来的域名列表,可能是一年前的绑定关系，对方早就把域名迁走了，如果你要拿来做法律取证或者攻击面梳理，尽量交叉验证三个渠道的存活情况：证书日志、被动DNS库、实时扫描，三方都指向同一个域名，才能下“当前绑定”的结论。
关于IP查域名的几个常见疑问，这里一次性说清
“IP反查域名”和“域名查IP”的难度有什么区别？
域名查IP是公网基础服务,秒级完成，准确率近100%；IP反查域名则是从指纹库去碰撞，准确率跟数据的收录时机挂钩，不存在官方权威答案。前者是标准查询，后者是经验推断，你必须习惯这种不对称性。
crt.sh是不是只能查证书域名？它能替代传统IP反查工具吗？
crt.sh本质上只收录了公开的证书申请记录，如果一个站点没有启用HTTPS，或者证书已经吊销并完全删除，crt.sh里就查不到，它能查到的也仅限于这个证书涵盖的域名（通常也包括常用子域名），但替换不了被动DNS库。两者配合着用，才能覆盖80%的场景。
查出同一个IP绑定了上百个域名，这些域名都是站主自己控制的吗？
显著不是,最常见的是虚拟主机或者共享IP（例如很多cloudflare节点），里面大部分站点属于不同所有者，只要其中有一两个站点遭了入侵、挂了黑链，这个IP的声誉就会连带受损，可能影响你站点所在IP段的邮件投递率，对于这种共享IP，建议做服务监测时优先关注站点内容相关性，而不是单看数量。