dnstwist.it

dnstwist是什么网站?

dnstwist 是一个钓鱼域名扫描工具，用来找出可能被攻击者抢注、冒充你品牌或域名的“相似域名”。

它解决什么问题

攻击者常注册与真实域名只差一两个字符的域名，比如把字母换成形近字符、调换顺序、加连字符，然后用来发钓鱼邮件或做假官网。dnstwist 会按这些规则批量生成变体，帮你提前发现风险。

典型使用场景

• 企业安全或运维人员：定期扫描公司主域名，看有没有可疑仿冒域名上线。
• 品牌保护：监控与品牌名相近的域名是否被他人注册。
• 应急排查：收到钓鱼邮件后，快速定位发件域名与官方域名的差异模式。

怎么用

网站首页就是一个扫描入口，输入要检查的域名即可生成相似域名列表；同时提供源代码，可自行部署或集成到自己的监控流程里。

和其他工具的关系

• 与 urlscan.io 侧重不同：urlscan 偏向分析某个网址实际加载了什么内容，dnstwist 侧重先枚举出“可能被冒充的域名”。
• 与 Have I Been Pwned 侧重不同：后者查账号是否出现在泄露事件中，dnstwist 查的是域名层面的仿冒风险。
• 实践中可以先用 dnstwist 生成候选域名，再配合其他工具判断这些域名是否已活跃。

下一步建议

如果你负责公司域名安全，可以先扫描主域名，把结果中已注册、已解析的相似域名挑出来重点跟进；需要自动化的话，直接取用它的开源代码接入现有监控。

dnstwist能检测哪些类型的仿冒域名?

dnstwist 主要用来发现“看起来像你域名的变体”，也就是攻击者可能注册来做钓鱼或欺诈的仿冒域名。它通过生成大量域名变体，再检查这些变体是否已被注册、是否指向可疑页面。

能检测的仿冒类型

• 字符替换/错拼：把域名里的字母换成相邻键或相似字母，例如 o 换成 0、l 换成 1、rn 换成 m。
• 字符增删：多打一个字母或少打一个字母，形成相近域名。
• 字符调换：相邻字母顺序对调，利用手误输入。
• 同形异义字符：用外观相似的 Unicode 字符冒充普通字母，即 IDN 同形异义攻击。
• 子域名/前缀变体：在域名前后加常见词，例如 login-、secure-、-app 等。
• 顶级域替换：把 .com 换成 .net、.org、.co 等常见后缀。
• 连字符变体：在词之间插入或去掉连字符，例如 my-site 与 mysite。

使用场景

安全团队、品牌保护人员或运维人员在排查品牌仿冒时，可以用它批量生成并筛查可疑域名；例如需要评估“如果攻击者抢注了哪些相似域名，可能冒充我们的登录页”，dnstwist 能快速列出候选清单。

选择条件

• 如果你要的是域名变体生成 + 注册状态检查，dnstwist 很直接。
• 如果你更侧重长期监控和告警，可以配合其他域名监控服务。
• 如果你关注邮件发件人伪造，它不直接检测 SPF/DKIM，需要另用邮件安全工具。

下一步

先输入你的主域名，查看生成的变体列表，再对已注册且解析到可疑 IP 或页面的域名做进一步人工确认。

如何用dnstwist扫描自己品牌的相似域名?

用 dnstwist 扫描自己品牌的相似域名，核心是让它根据你输入的域名生成一批“看起来像但不一样”的变体，再逐个检查哪些已被注册或可解析。

操作思路

1. 先确定要保护的品牌主域名，例如 example.com。
2. 用 dnstwist 生成变体：它会做字符替换、插入、删除、调换、同音/形近替换、加连字符、换顶级域等。
3. 对生成的候选域名做解析或注册状态检查，筛出“已注册且能解析”的可疑项。
4. 对可疑域名进一步看页面内容、证书、MX 记录，判断是否用于钓鱼或仿冒。

典型使用场景

• 品牌保护：定期跑一遍，发现新注册的仿冒域名。
• 钓鱼排查：收到可疑邮件后，用发件域名生成变体，找同源仿冒站。
• 上线前检查：新品牌域名确定后，先扫一遍看哪些相似域名已被占。

选择条件

• 只做基础排查：用 dnstwist 的默认变体生成加 DNS 解析即可。
• 要持续监控：把结果导出后做差集，只关注新增的可解析域名。
• 要判断威胁等级：结合页面截图、WHOIS、证书信息，而不是只看“能否解析”。

下一步

先拿自己的主域名跑一次，把“已注册且能解析”的列表单独存下来作为基线；之后每次扫描只对比新增项，减少噪音。

dnstwist支持批量扫描和自动化输出吗?

支持。dnstwist 的定位是“phishing domain scanner”，用于找出可能被攻击者利用的仿冒域名，因此它的常见用法就是围绕批量输入和脚本化输出来设计的。

批量扫描

• 可以一次传入一个域名，让工具生成大量变体（typosquatting、同形字、TLD 替换等）并逐一检查是否已被注册或解析。
• 也可以把多个目标域名放进文件或脚本循环中，逐个调用，实现批量处理。
• 对防守方来说，典型场景是：手里有一批自有品牌域名，需要定期检查是否有新出现的仿冒域名。

自动化输出

• 支持结构化输出，便于被其他程序读取和后续处理，例如接入监控、告警或工单系统。
• 适合放进定时任务（cron、CI 等），把结果写入文件或推送到内部平台。
• 例如需要每天检查一次品牌域名变体，就可以让脚本自动运行并把新增的可疑域名筛选出来。

选择条件

• 如果你要的是“批量 + 自动化 + 可集成”，dnstwist 更偏向命令行、可脚本化的工具，而不是只提供网页查询界面的服务。
• 如果只需要偶尔手动查一个域名，直接用它的在线扫描页面即可；要做持续监控，就走本地安装加脚本调用。

下一步 先确认你的输入是单域名还是域名清单，再决定用循环调用还是直接批量传入；输出侧优先选结构化格式，方便后续自动比对和告警。

dnstwist的扫描结果如何帮助防御钓鱼攻击?

dnstwist 的扫描结果本质上是给你一份“可能被用来冒充你的域名清单”，让你在攻击者动手前先发现并处理这些风险域名。

扫描结果能做什么

• 发现仿冒域名：它会生成与你的域名相似的变体，比如字符替换、调换顺序、增删字母、换不同顶级域名等，这些正是钓鱼者常用的手法。
• 提前预警：在攻击者注册并投入使用前，你就能知道哪些变体已经被注册、哪些还空着。
• 判断风险优先级：对已注册的相似域名，可以进一步看它是否已解析、是否有邮件服务（MX 记录），从而判断它是否可能被用来发钓鱼邮件或架设假网站。

典型使用场景

• 企业安全团队：定期对主域名跑一次扫描，把结果纳入监控名单，发现新注册的相似域名就及时评估。
• 品牌保护：把高风险变体整理出来，用于向注册商投诉或走域名争议流程。
• 邮件防护：对已注册且带邮件记录的相似域名，提前在邮件网关里加规则，减少员工收到冒充邮件的概率。

下一步可以怎么做

扫描只是起点，拿到结果后建议：

1. 对已注册且解析的相似域名，确认归属和用途。
2. 把高风险域名加入内部黑名单或监控。
3. 对确实恶意、侵权的域名，走投诉或法律途径。
4. 定期重跑，因为新变体会不断被注册。

简单说，dnstwist 帮你把“看不见的仿冒域名”变成可操作的清单，防御动作才有明确目标。

dnstwist和同类域名监控工具有什么区别?

dnstwist 更像一个“主动排查工具”，而不是持续在线的监控服务。它的核心用途是：给定一个域名，生成大量容易被攻击者抢注的相似域名（拼写错误、同音、字符替换、添加前后缀等），再批量检查这些域名是否已被注册、是否解析、是否挂了网页或邮件服务。

和同类工具的主要区别：

具体场景上，如果你是安全工程师，想在做钓鱼演练或应急排查时快速看清“有哪些相似域名已经被人注册了”，dnstwist 直接跑一条命令就能拿到结果。例如需要检查 example.com 的仿冒情况，它可以一次性列出 examp1e.com、exarnple.com 这类变体及其解析状态。

但如果你需要的是“有人今天注册了一个仿冒域名就立刻通知我”，dnstwist 本身不提供持续监控和告警，得自己配合定时任务和通知脚本。这类需求更适合用带监控面板的服务。

选择条件可以这样判断：

• 想免费、可控、可脚本化，选 dnstwist。
• 想省去自建、要告警和团队协作，选托管型监控服务。
• 两者可以叠加：用 dnstwist 做深度、按需排查，用监控服务做日常预警。