أداة اختبار تجاوز الوصول Bash 403/401 تقوم بفحص عنوان URL باستخدام انتحال الهيدر، والتلاعب بالطريقة، وتطبيع المسار، وتقنيات الترميز، وتعيد curl PoC عند النجاح.
اكشف ما هو محظور.
أداة اختبار تجاوز 403 من Brute Logic.
جزء من مجموعة King of Noobs — أدوات استطلاع هجومية مبنية على مبدأ KISS ومبدأ باريتو. بسيطة، سريعة، وفعّالة.
تختبر unKover عنوان URL يُرجع 403 Forbidden (أو 401 Unauthorized) مقابل مجموعة من تقنيات التجاوز المُثبتة وتتوقف عند أول تقنية ناجحة، وتُرجع أمر curl جاهزًا للتشغيل كإثبات مفهوم.
تشمل التقنيات انتحال ترويسة IP، وانتحال ترويسة Forwarded وفق RFC 7239، والتلاعب بالطريقة، وترويسات البروتوكول، وتطبيع المسار، وترميز URL، والتخفيض إلى HTTP/1.0، والترويسات نقطة بنقطة، وحقن لاحقة المسار، وتجاوز بادئة إصدار API.
لا وقت تشغيل. لا pip install. لا npm. لا مخاطر سلسلة التوريد.
Bash و curl موجودان بالفعل على كل نظام Linux. السكربت قصير، ومقروء، وقابل للتدقيق من قبل أي شخص في ثوانٍ. هذه ليست قيودًا — بل هذا هو الهدف.
bash unkover <URL> [--prefix /v2] [-j|--json]
URL — عنوان URL الهدف الذي يُرجع 403 أو 401 (مطلوب)--prefix — بادئة مسار إضافية للاختبار (اختياري). بعض الخوادم تحمي /admin لكن ليس /v2/admin أو /api/admin. قدّم أي بادئة ذات صلة بالهدف.-j|--json — إخراج النتائج بصيغة JSONbash unkover https://target.com/admin
bash unkover https://target.com/admin --prefix /v2
bash unkover https://target.com/admin -j | jq
يُظهر التقنية التي يتم اختبارها في الوقت الفعلي. عند العثور على تجاوز، يُخرج اسم التقنية، وأمر curl كإثبات مفهوم، وحالة النتيجة وحجمها. عند عدم وجود تجاوز، يُبلّغ بوضوح.
استخدم -j للحصول على إخراج JSON مع بيانات وصفية تشمل إصدار الأداة، والطابع الزمني، والوقت المنقضي، والنتائج، وخط الأساس.
اختبر unKover مقابل هدف حي مبني خصيصًا لهذه الأداة:
https://403.brutelogic.net/access
إعدادات خوادم متعددة (nginx، Apache) مع نواقل تجاوز مختلفة.
كلنا مبتدئون أبديون.
وُلد هذا المشروع من حقيقة بسيطة: مهما تعمقنا في الأمن، نبقى مبتدئين أبديين. هناك دائمًا المزيد لتعلّمه، والتواضع هو أعظم ميزة لدينا.
"King of Noobs" أُطلقت عليّ في الأصل على X كإهانة — لأنني واصلت مشاركة الأشياء بأبسط طريقة ممكنة، متبعًا KISS ومبدأ باريتو، بدلًا من الاحتكار خلف التعقيد.
قررت أن أرتدي التاج.
ليس لأنني أدّعي أنني الأفضل، بل لأن النخبة الحقيقية هم أولئك الذين لا يتوقفون أبدًا عن كونهم طلابًا. أولئك الذين يبقون متواضعين، ويبنون أشياء مفيدة، ويساعدون الآخرين على التطور دون غرور.
هذا ما يدور حوله King of Noobs.
في الأصل "Keep It Simple, Stupid!" — تُستخدم هنا بمعنى Keep It Simple and Short. حرف K آخر، مقصود. الأدوات قصيرة بالتصميم. القصير يعني قابل للقراءة. القابل للقراءة يعني قابل للتدقيق. القابل للتدقيق يعني موثوق.
حرف K في كل اسم أداة هو التاج. دائمًا بحروف كبيرة. دائمًا موجود.
| الأداة | الغرض |
|---|---|
| reKon | المنسّق الرئيسي — يشغّل خط أنابيب الاستطلاع الكامل |
| disKovery | اكتشاف النطاقات الفرعية |
| reKover | رسم خرائط URL (سلبي + تخمين + زحف) |
| unKover | تجاوز 403 / التهرب من التحكم في الوصول |
مشروع Brute Logic.
MIT