subfinder – パッシブなサブドメイン列挙ツール

ドメインをsubfinderに指定すると、標的に一切パケットを送らずに、そのドメイン配下で確認されたホスト名をオンライン上の数十のソースに問い合わせます。今回、新たにリリースされた2.17.0をAPIキーなしで本サイトに対して実行したところ、14秒で17件のサブドメインが見つかりました。ところが10月13日にDNSで調べると、名前解決できたのは1件だけでした。

subfinderとは

subfinderは、ProjectDiscoveryが開発したオープンソースのパッシブなサブドメイン列挙ツールです。Go言語で書かれ、MITライセンスで公開されています。証明書透過性の検索サービス、パッシブDNSデータベース、インターネットスキャナーなど、さまざまなサービスから情報を集め、その結果を1つのホスト名リストにまとめて、次のリコン（偵察）工程に渡します。

2026年10月8日にリリースされたバージョン2.17.0では、crtnameとsubdomaincenterという2つのソースが加わりました。あわせて、-match-regexオプションと-filter-regexオプション、複数ドメインの並行列挙にも対応しています。

APIキーなしでsubfinderがdarknet.org.ukから見つけたもの

キーを一切設定しない状態で、subfinderは14秒でdarknet.org.ukのサブドメインを17件見つけました。-statsフラグを使うと、各結果がどのソースから得られたのかがわかります。

表には14のソースが並んでいますが、結果を返したのは3つだけでした。crtname（12件）、subdomaincenter（3件）、scanmalware（2件）です。このうち成果の大半を挙げた2つは、2.17.0で追加されたソースでした。各ホスト名に報告元のソースを付ける-oJ -csを指定して再実行すると、17件のうち15件はcrtnameかsubdomaincenterだけが報告したものでした。

すべてが順調に動いたわけではありません。証明書透過性の検索サービスとして広く知られるcrt.shは何も返さず、エラーを2件記録しました。同じ日の午後にcrt.shへ直接問い合わせたところ、502が返ってきました。

ほかにも、エラーを記録して何も返さなかったソースがいくつかありました。一覧に載っているからといって、その日に応答するとは限りません。ホスト名だけを眺めるのではなく、-statsの表を確認すべき理由の1つです。

-all（ヘルプの表現では「列挙に全ソースを使用」）を加えると32秒かかりましたが、見つかった名前は同じ17件でした。

「見つかった」と「名前解決できる」は別物：サブドメインをDNSで確認する

subfinderが報告するのは、ソースがこれまでに記録したすべての名前です。現在存在するホストとは限りません。ヘルプで「アクティブなサブドメインのみを表示」と説明されている-nW（-active）を加えると、17件が1件にまで減りました。

10月13日には、17件すべてを公開DNSでも別途確認しました。A、AAAA、CNAMEの各レコードを問い合わせた結果は、先ほどの結果と一致しました。レコードが返ったのはwwwだけで、IPv4アドレスとIPv6アドレスが1つずつです。jenkins、k8s、prometheusといった名前を含む残り16件は、3種類のレコードのいずれも返しませんでした。

これらの大半はcrtnameが提供したものです。同サービスでこのドメインを検索しても、証明書の日付がない名前の一覧が返るだけです。出力だけでは、それらがいつ実在したホストだったのか、そもそも実在したのかどうかを判断できません。

subfinderのリストを別のツールに渡す前に、これが最も知っておくべき点です。生の実行結果は手がかりの一覧にすぎず、過去の名残やノイズも含まれます。何かをスキャンする前に、subfinder -d example.com -nWで名前解決するか、httpxなどのツールで疎通を確かめてください。DNSレコードのない名前は、標的ではなく、確認すべき疑問として扱うのがよいでしょう。

subfinderにAPIキーは必要か

使い始めるだけなら不要ですが、ソースの大半はキーを必要とします。2.17.0のバイナリで-lsを実行すると54のソースが表示され、キーまたはトークンが必要と示されているのが37、結果を良くするために任意でキーを渡せるのが5、キー不要が12でした。

前述のキーなし実行では、26のソースが「対象に含まれるがスキップ」と表示されました。いずれも、-lsでキーが必要と示されているソースです。

キーはprovider-config.yamlに保存します。このファイルは初回実行時にsubfinderの設定ディレクトリへ作成され、パスは-lsで確認できます。別のファイルを使う場合は-pcで指定します。READMEには「多くのソースが動作にAPIキーを必要とする」と率直に書かれており、その数は-lsでわかります。

キーを取得する価値があるかどうかは対象次第で、キーなしの実行からは判断できません。キーなしの結果は、無料のソースが見つけた内容を示すだけで、キー付きのソースが何を上乗せしたかはわからないからです。確かめるには、ソースごとにキーを1つずつ追加し、自分の調査対象で最終的なリストがどれだけ増えるかを見てください。

Windows、Kali、Linuxへのsubfinderのインストール方法

Windowsでは、リリースのzipをダウンロードして検証し、単体のバイナリを実行します。インストール作業は不要です。2.17.0のファイルはsubfinder_2.17.0_windows_amd64.zipで、v2.17.0のリリースページにあり、ダウンロードの横にSHA-256が掲載されています。PowerShellでは次のように実行します。

ハッシュ値はA3FD612928D591FB31C1E59A2E06055E364421BA32251E553073F5673A2D3103になるはずです。zipを展開し、テストが許可されているドメインに対して.\subfinder.exe -d example.comを実行してください。

Goがインストールされていれば、どのプラットフォームでもソースからビルドできます。プロジェクトのREADMEに記載されているコマンドは次のとおりです。

READMEによると、必要なのはGo 1.26です。Kaliにはsubfinderのパッケージがありますが、kali-rollingのバージョンは2.16.0で、crtnameとsubdomaincenterの追加前のものです。この2つが今回の17件のうち15件を見つけたことを考えると、Kaliが追いつくまでは、リリース版のバイナリかgo installを使うのがよいと考えます。実行中のバージョンはsubfinder -versionで確認できます。

subfinderとAmass、Sublist3r、assetfinderの比較

現時点での実用上の違いは、メンテナンスの状況です。本サイトは2017年にSublist3rを、2021年にassetfinderを取り上げました。しかし、どちらのプロジェクトも2020年以降コミットがありません。Sublist3rの最後のコミットは2020年7月、assetfinderは2020年4月です。データソースが変わっても誰も更新しておらず、パッシブな列挙ツールは、今も到達できるソースの質で性能が決まります。

subfinderは8月以降に3回のリリースを出しており、直近のリリースで加わったソースが、上記の実行で成果の大半を挙げました。

OWASP Amassはより重量級の選択肢です。最新リリースのv5.1.1は2026年4月に公開され、名前の列挙にとどまらず、はるかに多くのことができます。次のツールに渡す候補ホスト名の一覧を素早く得たいならsubfinder、より広いアセットマップが必要ならAmassを学ぶとよいでしょう。

subfinderは次の場所からダウンロードできます。

GitHub上のsubfinder 2.17.0

詳細はこちらをご覧ください。