如何找到被Cloudflare保护的API端点？求可行方法与工具

• 被动信息收集优先
  别一开始就硬刚Cloudflare，先从公开渠道挖线索：

  • 查站点历史归档，比如Wayback Machine的快照，说不定能找到早年未被Cloudflare保护的API端点或者真实服务器IP。
  • 逛GitHub、GitLab这类代码托管平台，搜目标公司或相关开发者的仓库，找泄露的配置文件（比如.env、swagger.json），这类文件里经常藏着完整的API路径和后端地址。
  • 反编译目标的移动端APP（APK/IPA包），抓里面的网络请求，很多移动端会直接调用真实后端IP，不走Cloudflare的CDN。

• 揪出真实服务器IP
  CloudFail没奏效的话，试试这些方法：

  • 用crt.sh查询目标域名的SSL证书记录，证书往往会关联到真实服务器的IP，或者没被Cloudflare覆盖的子域名。
  • 查DNS解析历史，比如用DNSdumpster这类工具，找站点切换Cloudflare前的旧IP记录，有些旧IP还能连通后端服务。
  • 查目标的MX邮件记录，邮件服务器一般不会走Cloudflare，拿到邮件服务器IP后扫同C段的端口，大概率能找到API服务器的开放端口。

• API端点定向侦察

  • 用目录扫描工具（比如ffuf、dirsearch），针对常见API路径（/api/v1/、/api/admin/、/api/user/这类）爆破，记得设置和浏览器一致的UA头，加个延迟，避免被Cloudflare直接拦截。
  • 扒目标站点的前端JS文件，很多API端点会硬编码在JS里，或者能从接口调用逻辑里反推出路径。
  • 用浏览器开发者工具抓包，模拟正常用户操作（比如登录、提交表单），看前端和后端的异步请求，哪怕走Cloudflare，也能拿到API端点路径，之后再用真实IP尝试访问这些路径。

• 绕过Cloudflare的访问技巧

  • 用curl或者Python的requests库请求时，把浏览器的完整请求头（Cookie、User-Agent、Referer这些）都带上，模拟真实用户请求，基础的Cloudflare拦截大概率能绕过去。
  • 用无头浏览器（比如Playwright、Puppeteer），模拟完整的浏览器环境，自动过Cloudflare的人机验证，之后直接抓API请求。
  • 换不同地区的代理IP试试，有些地区的Cloudflare防护策略会宽松一些，说不定能直接访问。

内容的提问来源于stack exchange，提问作者Rudhresh KS