1) Aquatone, неплохая тулза, видел что ее рекомендовали несколько багхантеров, юзал сам, остался доволен.
2) Censys subdomain finder, не знаю можно ли здесь оставлять линки, но гуглится легко по названию (1 ссылка на гитхабе). Ищет на основе SSL сертификатов, т.е если он вообще когда либо существовал у сабдомена, то он его найдет. Из плюсов — находит много сабдоменов. Из минусов — придется просеивать вручную, ибо некоторые сабдомены уже будут мертвы.
2) Censys subdomain finder, не знаю можно ли здесь оставлять линки, но гуглится легко по названию (1 ссылка на гитхабе). Ищет на основе SSL сертификатов, т.е если он вообще когда либо существовал у сабдомена, то он его найдет. Из плюсов — находит много сабдоменов. Из минусов — придется просеивать вручную, ибо некоторые сабдомены уже будут мертвы.