TL;DR：是的，在任何公共 CT 日志查看器中检查该域并仅查找您购买的证书将使您非常确信没有向该域颁发恶意证书。

是的，我完全同意你的观点，攻击者可以在该 IP 上获得一个 VM，这足以通过自动域验证检查并获得证书。您谈到攻击者从 Let's Encrypt 获得证书，但除非受害者为他们的域设置了 DNS CAA 记录：

CAA 记录允许域所有者声明允许哪些证书颁发机构为域颁发证书。

那么攻击者可以从任何 CA 获得证书，并且一些 CA 提供的证书有效期长达一年。

解决方案：*超级英雄音乐响起*证书透明度来救援！

CT 的问题是某些浏览器强制执行它而其他浏览器不执行，CA/浏览器论坛没有全球要求 CA 登录到 CT。

• 自 2018 年 4 月 30 日以来，Chrome（我认为也是 Chromium）强烈要求 CT 登录每个网站证书，否则浏览器会抛出错误（来源）。
• Safari 似乎开始需要它，尽管这对我来说是个新闻，而且该页面的日期为 2021 年 3 月（来源）。
• Firefox 不需要或检查 CT 日志（来源）。

也就是说，我无法想象有任何主要 CA 只在 Firefox 根存储而不是 Chrome 或 Safari 的根存储中开展业务，所以可以肯定的是，所有 majar CA CT 都会按照 Google 的标准记录他们生成的每个证书.

摘要：是的，在任何公共 CT 日志查看器中检查该域并仅查找您购买的证书将使您非常确信没有向该域颁发恶意证书。