Metasploit Framework HTTP Virtual Host Brute Force Scanner モジュールを使用できます。
Nmapは Metasploit内 から起動するのが最適です。詳細については、 Port Scanning のMetasploit Unleashed（Offensive-Securityから無料で入手できるトレーニング）セクションを参照してください。
ターゲットのIPアドレスがグローバルインターネットから利用できる場合は、 MyIPNeighbors および [〜＃〜] shodan [〜＃〜] も確認することをお勧めします。この種の偵察活動に役立つ。
キャッシングサーバー、CDNインフラストラクチャ、リバースWebプロキシ、ロードバランサー、内部IPプレフィックス、アーカイブされたコンテンツ、および関連ホストの識別も、仮想ホストインフラストラクチャの調査中に役立つ場合があります。 Host/IPパターン抽出ツール （Host-extract.rb）、 Halberd 、 The Web Archive 、 HTTP Archive 、および W3AF 。
元の質問に戻るには、 http-vhosts と呼ばれるNSE（Nmap Scripting Engine）スクリプトを使用してvhostsをスキャンすることができます。ただし、何が発見されたか、何が発見されなかったかについての最終決定を決定する前に、ターゲットアーキテクチャ全体の複雑さを知ることは良いことです。
通常、私は最初にファイル読み取り包含の脆弱性につながるパス開示の脆弱性を見つけ、次にそれを手動で実行するためにWebサーバー構成をダウンロードする方が簡単だと思います。または、メール/電話/テキスト/ DM/FaceBookメッセージで、アクセス権を持つWebサーバー管理者にWebサーバー設定のコピーを依頼します。
ローカルLANを使用している場合（--send-eth）、MACアドレスのOUI 12ビット拡張識別子マップを、IEEE Registry Authorityによって割り当てられた組織にマップできます。 Nessusおよび他のいくつかのツールは、デフォルトでこれを行います。私のお気に入りは、トラフィックのNetworkMinerです。これは、パケット分析のサンプルも提供し、予防的なトラブルシューティングで何が起こったかをよく把握できるためです。
次のリンクはこれのよい概観を持っています：
http://lab.lonerunners.net/blog/virtual-Host-and-dns-names-enumeration-techniques
カバー：1.列挙する必要がある理由2.手法2.1 DNS列挙手法2.2バナーグラブ2.3 SSL/TLSプロトコル列挙手法2.4 HTTPプロトコル列挙手法2.5パッシブWeb列挙手法2.6アクティブWeb列挙手法
ローカルサブネットの場合、ホストのMACアドレスを取得して、それらがVMwareまたは他の会社に属しているかどうかを確認できます。通常、誰もそれらを変更することを気にしません。 nmapは-Aスイッチなどを使用して通知します。
下部のDavid Stubley linkedinページは、有望に見えるホストマップと呼ばれるRubyツールへのリンクです。
すべてのKVM VMsポートはKVMホストによってフィルタリングされるため、LANでは任意のポート（65535）を選択して、フィルタリングされたポートを探すことができます。 ：
nmap -p 65535 192.168.0.0/24 -oG - | grep filtered| awk '{print $2,$3}'
しかし、ファイアウォールとKVM VMはこのスキャンでも表示されるはずです。
ESXiホストではポート902が開いている必要があります。
nmap -p 902 192.168.0.0/24 -oG - | grep open | awk '{print $2,$3}'
ESXiホストがそのスキャンに表示されます。