用途
recon-sector-expansion 用于在已获授权的侦察项目中将覆盖面扩展到新的行业，而不是深挖单一已知目标。它的目标是跨 5–10 个不同行业发现并测试 20 个以上的新公司域名。技能文档明确指出：目标清单必须来自授权范围；批量扩展适用于有明确边界的项目，不得进行无差别抓取。触发场景包括「在非监管行业再发现 20 个域名」「需要扩大覆盖面，还有哪些没测过」「在常规行业之外寻找新目标」等。
工作流程
第一阶段：覆盖审计
在发现新目标前先弄清已测内容：从 all_targets.txt 和 all_massive.txt 中提取全部域名并去重，统计已测数量；检查存在多少 *_findings.md 发现文件；通过在各发现文件中检索行业关键词（如 dentist、gym、baker、auto_body、carpet、laundry、daycare、pest、tree、pet），判断哪些行业已经覆盖过。
第二阶段 a：来源一 crt.sh 证书透明度
对于没有全国连锁的本地服务行业（屋顶、园林、管道、泳池、暖通等），crt.sh 是主要发现来源，这类企业常用描述性域名。查询使用简单行业关键词并采用 HTML 输出模式，因为宽泛查询下 JSON API 会返回 502/503。参数包括 excluded=expired（仅当前证书）、dedup=Y（去重），正则使用 BusyBox 兼容的 -oE。文档给出了覆盖 roof、landscaping、pestcontrol、dentist、fitness、cleaningservice、movingcompany、photography、vetclinic、realtor、hvac、treeservice、lawncare、plumbing、poolcleaning、windowcleaning、petsalon、barbershop、daycare、carpetcleaning、handyman、lawfirm、concrete、autorepair、petgrooming、autobody、remodeling 等关键词的行业清单，循环查询并在每次之间 sleep 2 秒以避免限流。
结果需要过滤噪声：剥离 autodiscover.、vpn.、api.、mail.、remote.、webmail.、crm.、ftp.、test.、dev.、exchange、hostmaster、owa.、smtp. 等基础设施子域，以及通用占位域名，并按域名名称中的关键词将其归入行业（如 roofing/roof/roofer、landscaping/landscape/lawn、hvac/heating/cooling/air、dentist/dental、pest/mosquito、daycare、lawfirm、gym/fitness、autorepair/auto/collision、cleaning/maid、vet/pet、pool/spa）。同时要排除大型托管商和 SaaS 平台的子域、大型机构子域以及非美国域名。
第二阶段 b：来源二 Google / 手动（适合全国连锁）
对于由全国或区域连锁主导的行业（牙科、健身房、烘焙、汽修钣金），应使用 Google 搜索，因为连锁品牌域名很少包含行业关键词。文档列出了按行业检索「美国最大/最顶级连锁」的示例关键词，并给出示例连锁名称（如牙科的 Aspen Dental、Gentle Dental、Coast Dental、DentalWorks、Heartland Dental、Pacific Dental；健身的 F45、Barry's、CrossFit、Gold's Gym、24 Hour Fitness、LA Fitness、OrangeTheory；烘焙的 Cinnabon、Crumbl、Insomnia Cookies、Sprinkles、Nothing Bundt Cakes；汽修钣金的 ABRA、Caliber、Gerber、Service King、Fix Auto、Sterling、Crash Champions；地毯清洁的 Chem-Dry、ServPro、Stanley Steemer、Rainbow International、Heaven's Best；洗衣服务、托育、宠物美容、害虫防治、树木服务等也各有示例）。
第三阶段：批量存活检测
拿到 50–60 个候选域名后，先用已知目标文件过滤，再用 curl 串行快速检查 HTTP 状态码（60 个目标约 2.5 分钟），把状态码非 000/超时的域名视为存活。
第四阶段：完整测试流水线
对存活域名运行六步流程，规模较大（20+ 目标）时使用 Python 批量脚本。脚本执行的检查包括：
- httpx 探测（状态码、标题、技术识别、服务器）；
- WordPress REST API 检查三个路径（/wp-json/wp/v2/users、/wp-json/、/?rest_route=/wp/v2/users），若返回 200 则标记 WordPress 并枚举用户；若未命中则回退检查页面源码中的 /wp-content/ 或 /wp-includes/ 标记；
- CORS 测试（发送 Origin: https://evil.com 并检查 Access-Control-Allow-Origin 及 Access-Control-Allow-Credentials）；
- XMLRPC 检查（POST /xmlrpc.php 是否返回 200）；
- nmap 常用 20 端口扫描；
- 按 WordPress、用户暴露、CORS 反射、XMLRPC 开放四项计算严重级别（≥3 项 HIGH，≥2 项 MEDIUM，≥1 项 LOW，否则 NONE），并写出 findings.md。
第五阶段：结果分析
重点审视高信号模式：带凭据的 CORS（evil.com 被反射且允许凭据，位于 /wp-json/wp/v2/users）为 HIGH；WordPress 用户经 REST API 暴露为 MEDIUM；通配符 CORS（无凭据）为 MEDIUM；XMLRPC 开放为 LOW-MEDIUM；非标准服务开放端口（21 FTP、3306 MySQL、3389 RDP、5900 VNC、6379 Redis）视情况而定；PHPInfo 暴露为 LOW。
限制与注意事项
技能给出了若干坑点：不要只用单一清单判断「已测」域名，all_targets 与 all_massive 可能不同，需合并去重；CloudFlare 可能对部分站点的 WP REST API 返回 403，可尝试 rest_route 形式或检查页面源码；XMLRPC 可能返回 200 但在方法列表层被 WAF 拦截，需单独测试；某些 301/302 站点在重定向响应上仍可能带 CORS 头，需测试重定向目标；最小化环境可能只有 BusyBox，缺少 grep -P 和 find -printf，需用 -oE 与替代写法；crt.sh 被高频查询时返回 502/503，查询间隔 3 秒，连续报错时等待 15–30 秒，宽泛查询不要用 JSON API；nmap 常用 20 端口每目标约 3–5 秒，可在 5–7 个目标间并行；非 WordPress 站点的 CORS 情况文中未完整展开。
技能还附有一份截至 2026-06 验证存活的美国全国/区域连锁域名清单，涵盖牙科、健身、烘焙、汽修钣金、地毯清洁、洗衣、托育、害虫防治、树木服务，以及由 crt.sh 发现的屋顶、园林、暖通和总承包商等本地/区域域名。
适用场景
适用于已获授权、需要横向扩大侦察覆盖面的安全评估项目，尤其是希望从常规目标扩展到多个新行业、批量建立候选公司域名清单并快速筛出高信号暴露面的场景。使用时必须遵守授权范围，不得将其用于无差别扫描或未经许可的目标。