https://xss.pro/threads/82843/post-583305, обращение по http/https ко всем IPv4 с host хидером целевого домена, с последующим анализом ответов и поиском заранее заданного текстового паттерна. Данный метод не работает в том случае если на сервере 80/443 порты закрыты от всего мира и принимают коннекты только из подсетей CDN, но и такую защиту можно обойти, для этого на таргете надо найти SSRF.
еще если сайт на клоудфаире можно дмса репорт пустой кинуть, и на почту придет встречное письмо "We forwarded it to hosting provider" и внизу там будет название ASN + почта хостера
