La primera respuesta no responde técnicamente a la pregunta.

Método oficial

Solo hay un método oficial para hacer esto usando el comando dig :

dig @ns.thenameserver.net example.com axfr

AXFR es un método de transferencia de dominio y si los servidores de nombres están configurados para permitir que el comando se ejecute, entonces le dará el registro completo de ese dominio, incluidos los subdominios.

Sin embargo, es probable que reciba el siguiente mensaje:

; <<>> DiG 9.8.3-P1 <<>> @ns.thenameserver.net example.com axfr
; (1 server found)
;; global options: +cmd
; Transfer failed.

Esto es por razones de seguridad.

Métodos no oficiales

1. SubBrute Python Script ( enlace ) - un script en Python que usa un diccionario para dominar los subdominios de búsqueda de fuerza para un dominio dado.
2. Fierce2 Perl Script ( enlace ) - similar a SubBrute pero con un diccionario más pequeño y anecdotalmente más bajo. Todavía vale la pena un vistazo.
3. Google con la siguiente consulta site: example.com . Esto puede o no recuperar subdominios del dominio principal
4. Este sitio web lo ayuda a usar varios métodos: enlace

En esta respuesta , puede detectar desde DNS si tienen un dominio comodín, esto le ahorrará tiempo (y no tendrá consultas HTTP para el dominio)

Tomado de la publicación serverfault:

# dig +short '*.not-a-real-domain.com'
1.2.3.4