用途：对同一目标集进行重复侦察（第N+1波对比第N波），判断漏洞是否已被修补、是否出现新暴露面（新端口、新子域名、新端点），并在下一次侦察前产出差异报告、在报告前确认发现仍然有效。
主要能力：按目标逐项对比XMLRPC状态、CORS响应头、WP用户数、开放端口、子域名、敏感路径状态，将结果分类为NEW(++)、REGRESSION(--)、PERSISTENT(==)、CHANGE(~)与REVERSED(->)。REVERSED指曾被加固后又回退到原脆弱状态的情况，视为高优先级可行动项。
使用方式：前置条件为历史评估输出位于${OUTPUT_DIR:-./output}/baseline/，当前评估输出位于${OUTPUT_DIR:-./output}/current/，且每个目标有结构化发现（至少含端口、CORS状态、WP用户、XMLRPC状态、敏感路径）。运行流程：第一步收集两波数据WAVE_OLD="${OUTPUT_DIR:-./output}/baseline"、WAVE_NEW="${OUTPUT_DIR:-./output}/current"；第二步逐目标生成差异表；第三步分类并标记关键差异（如新开放3306端口、新CORS凭据反射、新WP安装页、新出现含admin/staging模式的子域名）。
适用场景：对同一目标集周期性侦察、验证漏洞是否被修补、发现新增暴露面、在下一波前生成差异报告、报告前确认发现有效。
限制与注意事项：403可能是限流而非修补，需用不同IP/延迟重试3次；200端点可能底层漏洞已禁用而形成假PERSISTENT；两波必须使用相同方法论，否则差异无意义；不要把“未记录”误判为“不存在”。每个差异须能用相同命令在两波输出上复现；NEW发现应立即复测，因其可能短暂存在；跨3波以上持续的PERSISTENT发现最可靠。相关技能包括attack-patterns-reference、recon-playbook、cross-attack-chains、cors-credential-wordpress、xmlrpc-exploitation。