用途：在生产站点防护较强（如 WAF、无泄露）时，转而发现 staging、开发与内部子域，寻找更薄弱的入口。适用于授权的高价值目标侦察阶段、子域枚举之后，以及大型攻击面（电商、SaaS、连锁）场景。
主要能力：通过 crt.sh 证书透明度查询枚举子域，按 staging/dev、admin/internal、api、基础设施、连锁/门店等模式分类；用 httpx 探测存活主机；检查 staging 上的 WordPress 安装页（install.php、upgrade.php、setup-config.php）、info.php、.env；对比生产与 staging 的响应头、目录列表、调试输出、CORS 与 XMLRPC；枚举连锁/多地点子域并检查 WPSL 与用户数据。
使用方式：需要终端含 curl、httpx、jq；DNS 爆破需 ./tools/subdomains.txt 字典。核心命令如：curl --max-time 30 --connect-timeout 10 -sk "https://crt.sh/?q=%25.$DOMAIN&output=json" | jq -r '.[].name_value' | sed 's/*.//g' | sort -u > subs.txt，再用 httpx -silent -l subs.txt -threads 50 -status-code -tech-detect -o alive_subs.txt 探测，并 grep 筛选 staging 等关键词。
限制：crt.sh 可能限流，需加延迟或改用 PostgreSQL 转储；通配符证书会隐藏子域，可用 subfinder 兜底；部分 staging 需 VPN 或 IP 白名单，仅应从授权来源测试；生产站点也可能暴露 install.php，需确认标题是否为全新安装；CORS 等差异应在同一端点矩阵下对比再判断。验证要求：每个 staging 子域须用 httpx 确认真实存活；install.php 须返回 200 且正文含 WordPress 与 installation；弱点须与生产对比确认安全差距；发现的凭证视为敏感证据，仅在明确授权下测试，不得假设 staging 凭证可用于生产。