Resposta curta: você não consegue encontrar o (s) endereço (s) de IP do (s) host (s) por trás dos endereços da Cloudflare.
Resposta longa: algumas configurações incorretas ou vulnerabilidades do site da web expõem o (s) verdadeiro (s) endereço (s) IP de alguns sites por trás do Cloudfare.
Veja, por exemplo, uma ferramenta automatizada para encontrar algumas configurações incorretas comuns, CFire
De Rhino Security Labs - página CFire
To summarize:
CloudFlare is a great cloud security tool, offering WAF/DDoS protection by hosting your DNS and protecting the true IP of your domains
CloudFlare requires proper configuration and maintenance to be its most effective
Server IPs may still be exposed if moved to CloudFlare from “direct IP” DNS provider
Subdomains bypassing CloudFlare often exposes all DNS records to bypass attacks