NoMore403

nomore403 هي أداة سطر أوامر لاختبار تجاوز التحكم في الوصول عبر HTTP والتناقضات في تحليل الطلبات حول الاستجابات 401 و 403 وما يتصل بها.

صُممت الأداة للعمل العملي في مجال أمن الويب: مكافآت الثغرات، اختبار الاختراق، مراجعات الأمان، واختبار الانحدار لقواعد التحكم في الوصول. تقوم بأتمتة مجموعة واسعة من تحويرات الطلبات، تلتقط حالة أساسية، ترشح النتائج الإيجابية الخاطئة الشائعة، وتبرز الاستجابات الأكثر احتمالاً لتمثل تجاوزاً ذا معنى.

ما تقوم به

بالنظر إلى عنوان URL مستهدف، تقوم nomore403 بما يلي:

1. ترسل طلبًا أساسيًا (baseline) لالتقاط الاستجابة المحظورة.
2. اختيارياً، تقوم بالمعايرة التلقائية (auto-calibration) مقابل مسارات غير موجودة لتعلم سلوك الخطأ الافتراضي للهدف.
3. تشغل مجموعة من تقنيات التجاوز التي تحوّر مسار الطلب، أسلوب الطلب (method)، الترويسات (headers)، أو تنسيق النقل (wire format).
4. تقوم بتسجيل النتائج وتجميعها لتقليل الضوضاء.
5. تُخرج أدلة قابلة لإعادة التنفيذ، بما في ذلك أوامر curl للنتائج المثيرة للاهتمام.

هذه الأداة لا "تكسر المصادقة" بذاتها. إنها تساعد في إيجاد الاختلافات بين كيفية تفسير الواجهات الأمامية، الخوادم الوسيطة (proxies)، جدران حماية تطبيقات الويب (WAFs)، شبكات توصيل المحتوى (CDNs)، موجهات التطبيقات، والخوادم الخلفية لنفس الطلب.

الميزات

• مقارنة قائمة على الأساس (baseline) مقابل الاستجابة المحظورة
• المعايرة التلقائية لتقليل النتائج الإيجابية الخاطئة من الاستجابات الافتراضية 404 أو استجابات المسار الأصلي (parent-path)
• مخرجات مسجلة مع ملخصات منفصلة للتجاوزات المحتملة والاختلافات المثيرة للاهتمام
• إعادة التنفيذ (replay) وإمكانية التكرار للنتائج عالية القيمة
• إعادة المحاولة (retry) والتراجع (backoff) لأعطال الشبكة المؤقتة
• تنفيذ متزامن مع تقدم لكل تقنية
• دعم HTTP الخام (raw) لأشكال الطلبات التي يعمل net/http على تطبيعها
• مخرجات بصيغ JSON و JSONL للخطوط الأنابيب (pipelines) والمعالجة اللاحقة
• إدخال من عنوان URL واحد، ملف عناوين URL، الإدخال القياسي (stdin)، أو ملفات الطلبات

التنصيب

البناء من المصدر

git clone https://github.com/devploit/nomore403
cd nomore403
go build

التنصيب باستخدام Go

go install github.com/devploit/nomore403@latest

إذا قمت بالتنصيب عبر go install، لن يتم تثبيت مجلد payloads/ تلقائياً. قم باستنساخ المستودع وأشر الأداة إلى ذلك المجلد باستخدام -f عند الحاجة.

المتطلبات

• Go 1.24 أو أحدث للبناء من المصدر
• توفر curl في متغير PATH للتقنيات التي تعتمد عليه، مثل:
  • http-versions
  • http-parser
  • absolute-uri

معظم التقنيات تعمل دون curl.

بداية سريعة

فحص أساسي:

./nomore403 -u https://target.tld/admin

استخدام وسيط (proxy) ومخرجات مفصلة (verbose):

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

تشغيل تقنيات محددة فقط:

./nomore403 -u https://target.tld/admin -k headers,absolute-uri,raw-desync

قراءة الأهداف من الإدخال القياسي:

cat urls.txt | ./nomore403

استخدام ملف طلب بنمط Burp:

./nomore403 --request-file request.txt

كتابة مخرجات قابلة للمعالجة الآلية:

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

مثال على المخرجات

target: https://target.tld/admin   method: GET   frontend: AWS ELB/ALB   payloads: payloads

calib: 404 | 1245b | ±50 | frag 703b

BASELINE
  default       403    520 bytes    https://target.tld/admin

FINDINGS
  hdr-ip     100! 200   2048 bytes   X-Original-URL: /
  abs-uri     26. 403    236 bytes   request-target: https://target.tld/admin
  http        18. 400    122 bytes   HTTP/2

no visible results: 17 techniques

━━━━━━━━━━━━━━ LIKELY BYPASS ━━━━━━━━━━━━━━━━━
[!100 HIGH] Header injection (IP) 403=>200    2048b
         why: status 403->200, len Δ1528, body changed, type changed
        item: X-Original-URL: /
        curl: curl -i -sS -k -H 'User-Agent: nomore403' -H 'X-Original-URL: /' 'https://target.tld/admin'

كيفية قراءة المخرجات

مخرجات التقنيات الرئيسية

كل سطر مرئي هو استجابة اختلفت عن الأساس (baseline) بدرجة كافية لتجاوز الترشيح.

الحقول النموذجية:

• اسم مستعار للتقنية، مثل hdr-ip، abs-uri، أو parser
• علامة درجة مضغوطة مثل 18.، 61+، أو 100!
• حالة الاستجابة النهائية
• حجم الاستجابة
• العنصر أو المحمّل (payload) المستخدم

انتقالات الملخص

تظهر الملخصات النهائية انتقالات الأساس إلى النتيجة:

• 403=>200 يستحق عادةً اهتماماً فورياً
• 403=>302 قد يكون مثيراً للاهتمام، لكنه قد يظل يعود إلى حاجز مصادقة
• 403->400 أو 403->404 عادةً ما تشير إلى اختلافات في التحليل أو التوجيه وليس تجاوزاً

الملخصات

في نهاية التشغيل، تطبع nomore403:

• LIKELY BYPASS (تجاوز محتمل)
  • النتائج الأعلى تسجيلاً
  • تتضمن أمر curl قابل للتكرار
• INTERESTING VARIATIONS (اختلافات مثيرة للاهتمام)
  • اختلافات ذات معنى في التحليل أو التوجيه تستحق المراجعة اليدوية
• no visible results (لا توجد نتائج مرئية)
  • عدد التقنيات التي تم تشغيلها لكنها لم تُنتج مخرجات مرئية بعد الترشيح

نموذج التسجيل

التسجيل هو استكشافي (heuristic). الهدف منه هو ترتيب النتائج حسب الأولوية، لا إثبات الاستغلال.

تشجع الأداة عموماً:

• الانتقالات إلى 2xx
• الانتقالات إلى 3xx
• تغييرات كبيرة في طول النص (body)
• تغييرات في تجزئة النص (body hash)
• تغييرات في Location
• إعادة توجيه شاذة لا تبدو أنها تؤدي إلى صفحة تسجيل دخول أو رفض
• الاختلافات التي تصمد عند إعادة التنفيذ

تخفض الأداة عموماً من ترتيب:

• الاستجابات المتطابقة تقريباً
• الضوضاء المتكررة من المحلل (parser)
• نتائج إعادة التنفيذ غير المستقرة
• إعادة توجيه فارغة النص تبدو أنها تؤدي إلى التحكم في الوصول
• حالات كثيرة من 400 و 404 ما لم يتغير الاستجابة بشكل جوهري أيضاً

التفسير الموصى به:

• HIGH: قابلة للتنفيذ غالباً؛ راجعها أولاً
• MED: مرشح معقول؛ عادةً يستحق إعادة تنفيذ يدوي
• LOW: اختلاف في المحلل، شذوذ في التوجيه، أو سلوك ذو ثقة منخفضة

المعايرة التلقائية (Auto-Calibration)

المعايرة التلقائية مفعلة افتراضياً في الوضع غير المفصل (non-verbose).

ترسل طلبات إلى عدة مسارات غير موجودة وتبني أساساً لسلوك الخطأ الافتراضي للهدف. كما تقوم بطلب معايرة قائم على الأجزاء (fragment-based) لتقليل النتائج الإيجابية الخاطئة الناتجة عن المسارات المجردة من الأجزاء.

استخدم هذه العلامات للتحكم فيها:

• --no-calibrate
  • قارن فقط مقابل الاستجابة المحظورة الافتراضية
• --strict-calibrate
  • قارن أيضاً تجزئة النص والترويسات الرئيسية مثل Location، Content-Type، و Server

التقنيات

تقوم الأداة بتشغيل جميع التقنيات افتراضياً ما لم تحدد -k.

تحويرات الأسلوب والفعل (Method and verb mutations)

• verbs
  • أساليب HTTP بديلة من payloads/httpmethods
• verbs-case
  • حالة عشوائية لأساليب HTTP (أحرف كبيرة/صغيرة)
• method-override
  • أنماط تجاوز الأسلوب عبر الاستعلام (query)، الترويسة (header)، والنص (body)

تحويرات تعتمد على الترويسات والثقة (Header- and trust-based mutations)

• headers
  • تقنية شاملة تغطي:
    • ترويسات الثقة بالـ IP
    • الترويسات البسيطة
    • اختلافات الـ Host
• hop-by-hop
  • حيل تجريد الـ hop-by-hop باستخدام Connection
• header-confusion
  • ترويسات إعادة الكتابة وتجاوز المسار مثل X-Original-URL
• host-override
  • متغيرات تجاوز الـ Host و Forwarded-Host
• forwarded-trust
  • Forwarded، Client-IP، Cluster-Client-IP، وسلاسل الثقة ذات الصلة
• proto-confusion
  • X-Forwarded-Proto، ، وإشارات المخطط (scheme) ذات الصلة

تحويرات المسار والتطبيع (Path and normalization mutations)

• endpaths
  • تحويرات اللاحقة ونهاية المسار من payloads/endpaths
• midpaths
  • تحويرات إدراج المسار وأنماط العبور (traversal) من payloads/midpaths
• double-encoding
  • متغيرات مسار مشفرة، بما في ذلك أشكال التشفير المزدوج العدواني
• unicode
  • متغيرات مسار %uXXXX و UTF-8 المفرط الطول
• path-case
  • تبديل حالة أحرف أجزاء المسار
• path-normalization
  • متغيرات تطبيع النقاط (dot-segment) والفاصلة المنقوطة (semicolon)
• suffix-tricks
  • حيل اللواحق والإضافات مثل .json، .css، ، وتبديلات نمط الاستعلام للتنسيق

تحويرات الواجهة الأمامية وتنسيق النقل (Frontend and wire-format mutations)

• http-versions
  • مقارنة نفس الطلب عبر HTTP/1.0 و HTTP/2
• http-parser
  • إرسال طلب curl ضئيل متعمد لكشف اختلافات تحليل العميل/الواجهة الأمامية بشكل منفصل عن http-versions
• absolute-uri
  • استخدام أهداف الطلب المطلقة (absolute-form) عبر curl --request-target
• raw-duplicates
  • تكرار الترويسات ذات الأهمية الأمنية باستخدام HTTP الخام
• raw-authority
  • إشارات السلطة (authority) والـ host المكررة أو المتضاربة
• raw-desync
  • أشكال طلب تهدف إلى اختلافات التحليل بين الواجهة الأمامية والخلفية، بما في ذلك دلالات النقل المتضاربة

سلوك HTTP الخام (Raw HTTP Behavior)

بعض التقنيات تحتاج إلى تحكم على مستوى السلك (wire-level) لا يوفره عميل net/http في لغة Go. تستخدم تلك التقنيات محرك HTTP الخام.

التقنيات الخام حالياً تشمل:

• raw-duplicates
• raw-authority
• raw-desync
• بعض طلبات المسار باستخدام %uXXXX unicode

ملاحظات:

• تُرسل الطلبات الخام تلقائياً عند الحاجة
• التقنيات الخام لا تدعم حالياً الخوادم الوسيطة العليا (upstream proxies)
• السلوك الخام مفيد من أجل:
  • الترويسات المكررة
  • أهداف الطلب الدقيقة
  • حالات الحافة بين transfer-encoding و content-length

التبصم (Fingerprinting) وترتيب التقنيات

قد تستنتج الأداة تلميحات للواجهة الأمامية مثل:

• AWS ELB / ALB
• CloudFront
• Cloudflare
• Nginx
• Envoy
• Apache
• IIS

تُستخدم هذه التلميحات لتحسين ترتيب التقنيات وسياق المخرجات.

هام:

• التبصم لا يعطل التقنيات افتراضياً
• ما لم تستخدم -k، لا تزال الأداة تشغل مجموعة التقنيات الافتراضية الكاملة

إمكانية التكرار وإعادة التنفيذ (Reproducibility and Replay)

تُعاد تنفيذ النتائج عالية القيمة تلقائياً في الملخص النهائي.

مخرجات إعادة التنفيذ تساعد في الإجابة على:

• هل تكرر السلوك؟
• هل احتفظ بنفس الحالة وشكل الاستجابة؟
• هل هذا مستقر بما يكفي للتحقيق أو الإبلاغ عنه؟

يتضمن الملخص النهائي:

• عدد مرات إعادة التنفيذ مثل 1/1 أو 2/2 matched on replay
• أمر curl قابل لإعادة التنفيذ للنتائج المثيرة للاهتمام

أوضاع الإدخال (Input Modes)

هدف واحد

./nomore403 -u https://target.tld/admin

ملف يحتوي على عناوين URL

./nomore403 -u targets.txt

الإدخال القياسي (stdin)

cat targets.txt | ./nomore403

ملف طلب (request file)

./nomore403 --request-file request.txt

ملفات الطلبات مفيدة عند إعادة تنفيذ حركة المرور الملتقطة في Burp أو وسيط آخر.

مواضع المحملات المخصصة (Custom Payload Positions)

استخدم --payload-position عندما تريد حقن المحملات في علامات صريحة بدلاً من الاعتماد فقط على منطق تحوير endpath و midpath المدمج.

مثال:

./nomore403 -u 'https://target.tld/§100§/admin/§200§' -p §

سير العمل الشائعة (Common Workflows)

فرز سريع (Fast triage)

./nomore403 -u https://target.tld/admin

التحقيق باستخدام وسيط اعتراض (Intercepting proxy)

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

تشغيل تقنيات الخام والواجهة الأمامية فقط

./nomore403 -u https://target.tld/admin -k absolute-uri,raw-duplicates,raw-authority,raw-desync

اختبار IP موثوق مخصص

./nomore403 -u https://target.tld/admin -i 10.0.0.5

حفظ JSONL للتحليل لاحقاً

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

العلامات (Flags)

شغّل ./nomore403 --help للحصول على واجهة سطر الأوامر الكاملة والمحدثة.

العلامات الرئيسية:

• -u, --uri
  • عنوان URL الهدف، ملف عناوين URL، أو مسار إدخال
• -k, --technique
  • قائمة مفصولة بفواصل للتقنيات المراد تشغيلها
• -x, --proxy
  • وسيط علوي (upstream proxy)
• -H, --header
  • إضافة ترويسات مخصصة
• -i, --bypass-ip
  • IP أو اسم مضيف يُستخدم في تقنيات ترويسة الثقة
• -v, --verbose
  • إظهار جميع النتائج المرئية، وليس فقط المخرجات المرشحة
• --json
  • كتابة JSON منظم
• --jsonl
  • كتابة كائن JSON واحد لكل نتيجة
• --no-calibrate
  • تعطيل المعايرة التلقائية
• --strict-calibrate
  • مقارنة المزيد من حقول الاستجابة أثناء الترشيح
• --retry-count

تنسيقات المخرجات (Output Formats)

مخرجات طرفية قابلة للقراءة البشرية (Human-readable terminal output)

الوضع الافتراضي محسّن للمراجعة التفاعلية والفرز.

JSON

استخدم --json للحصول على مستند منظم واحد.

JSON Lines

استخدم --jsonl عندما تريد:

• معالجة النتائج بشكل تدريجي
• تخزين الأدلة في خطوط الأنابيب
• استيراد النتائج إلى أدواتك الخاصة

ملفات المحملات (Payload Files)

يحتوي مجلد payloads/ على قوائم تستخدمها عدة تقنيات.

الملفات الحالية تشمل:

• httpmethods
• headers
• ips
• simpleheaders
• endpaths
• midpaths
• useragents

يمكنك تخصيص هذه الملفات لتناسب أهدافك أو سير عملك.

القيود (Limitations)

• تقنيات HTTP الخام لا تدعم حالياً الخوادم الوسيطة العليا (upstream proxies)
• التسجيل استكشافي وقد ينتج نتائج إيجابية خاطئة أو سلبية خاطئة
• تسجيل إعادة التوجيه يستخدم حالياً استكشافات على استجابة إعادة التوجيه المباشرة، وليس سلسلة إعادة توجيه متابعة بالكامل
• بعض التقنيات تعتمد على سلوك خاص بالهدف وقد تبدو مزعجة على الأكوام عالية التطبيع
• التقنيات القائمة على curl تتطلب وجود curl في متغير PATH

الأمان والاستخدام المسؤول (Security and Responsible Use)

استخدم هذه الأداة فقط على الأنظمة المصرح لك باختبارها.

المؤلفون والمساهمون ليسوا مسؤولين عن سوء الاستخدام. أنت مسؤول عن الامتثال للقوانين المعمول بها، وقواعد البرنامج، والسياسات التنظيمية.

المساهمة (Contributing)

المساهمات مرحب بها.

مجالات المساهمة المفيدة تشمل:

• إصلاحات الأخطاء
• محملات أفضل
• تقنيات تجاوز جديدة
• تحسينات HTTP الخام
• تبصم الواجهة الأمامية
• التوثيق والأمثلة

قبل المساهمة بتقنية، يُفضل:

• سلوك تحليل أو حد ثقة واضح ومتميز
• دليل قابل للتكرار
• اختبارات تتحقق من شكل الطلب أو سلوك إعادة التنفيذ

الترخيص (License)

تم إصدار هذا المشروع بموجب ترخيص MIT. راجع LICENSE.