NoMore403

nomore403 هي أداة سطر أوامر لاختبار تجاوز التحكم في الوصول عبر HTTP والتناقضات في تحليل الطلبات حول الاستجابات 401 و 403 وما يتصل بها.

صُممت الأداة للعمل العملي في مجال أمن الويب: مكافآت الثغرات، اختبار الاختراق، مراجعات الأمان، واختبار الانحدار لقواعد التحكم في الوصول. تقوم بأتمتة مجموعة واسعة من تحويرات الطلبات، تلتقط حالة أساسية، ترشح النتائج الإيجابية الخاطئة الشائعة، وتبرز الاستجابات الأكثر احتمالاً لتمثل تجاوزاً ذا معنى.

ما تقوم به

بالنظر إلى عنوان URL مستهدف، تقوم nomore403 بما يلي:

1. ترسل طلبًا أساسيًا (baseline) لالتقاط الاستجابة المحظورة.
2. اختيارياً، تقوم بالمعايرة التلقائية (auto-calibration) مقابل مسارات غير موجودة لتعلم سلوك الخطأ الافتراضي للهدف.
3. تشغل مجموعة من تقنيات التجاوز التي تحوّر مسار الطلب، أسلوب الطلب (method)، الترويسات (headers)، أو تنسيق النقل (wire format).
4. تقوم بتسجيل النتائج وتجميعها لتقليل الضوضاء.
5. تُخرج أدلة قابلة لإعادة التنفيذ، بما في ذلك أوامر curl للنتائج المثيرة للاهتمام.

هذه الأداة لا "تكسر المصادقة" بذاتها. إنها تساعد في إيجاد الاختلافات بين كيفية تفسير الواجهات الأمامية، الخوادم الوسيطة (proxies)، جدران حماية تطبيقات الويب (WAFs)، شبكات توصيل المحتوى (CDNs)، موجهات التطبيقات، والخوادم الخلفية لنفس الطلب.

الميزات

• مقارنة قائمة على الأساس (baseline) مقابل الاستجابة المحظورة
• المعايرة التلقائية لتقليل النتائج الإيجابية الخاطئة من الاستجابات الافتراضية 404 أو استجابات المسار الأصلي (parent-path)
• مخرجات مسجلة مع ملخصات منفصلة للتجاوزات المحتملة والاختلافات المثيرة للاهتمام
• إعادة التنفيذ (replay) وإمكانية التكرار للنتائج عالية القيمة
• إعادة المحاولة (retry) والتراجع (backoff) لأعطال الشبكة المؤقتة
• تنفيذ متزامن مع تقدم لكل تقنية
• دعم HTTP الخام (raw) لأشكال الطلبات التي يعمل net/http على تطبيعها
• مخرجات بصيغ JSON و JSONL للخطوط الأنابيب (pipelines) والمعالجة اللاحقة
• إدخال من عنوان URL واحد، ملف عناوين URL، الإدخال القياسي (stdin)، أو ملفات الطلبات

التنصيب

البناء من المصدر

git clone https://github.com/devploit/nomore403
cd nomore403
go build

التنصيب باستخدام Go

go install github.com/devploit/nomore403@latest

إذا قمت بالتنصيب عبر go install، لن يتم تثبيت مجلد payloads/ تلقائياً. قم باستنساخ المستودع وأشر الأداة إلى ذلك المجلد باستخدام -f عند الحاجة.

المتطلبات

• Go 1.24 أو أحدث للبناء من المصدر
• توفر curl في متغير PATH للتقنيات التي تعتمد عليه، مثل:
  • http-versions
  • http-parser
  • absolute-uri

معظم التقنيات تعمل دون curl.

بداية سريعة

فحص أساسي:

./nomore403 -u https://target.tld/admin

استخدام وسيط (proxy) ومخرجات مفصلة (verbose):

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

تشغيل تقنيات محددة فقط:

./nomore403 -u https://target.tld/admin -k headers,absolute-uri,raw-desync

قراءة الأهداف من الإدخال القياسي:

cat urls.txt | ./nomore403

استخدام ملف طلب بنمط Burp:

./nomore403 --request-file request.txt

كتابة مخرجات قابلة للمعالجة الآلية:

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

مثال على المخرجات

target: https://target.tld/admin   method: GET   frontend: AWS ELB/ALB   payloads: payloads

calib: 404 | 1245b | ±50 | frag 703b

BASELINE
  default       403    520 bytes    https://target.tld/admin

FINDINGS
  hdr-ip     100! 200   2048 bytes   X-Original-URL: /
  abs-uri     26. 403    236 bytes   request-target: https://target.tld/admin
  http        18. 400    122 bytes   HTTP/2

no visible results: 17 techniques

━━━━━━━━━━━━━━ LIKELY BYPASS ━━━━━━━━━━━━━━━━━
[!100 HIGH] Header injection (IP) 403=>200    2048b
         why: status 403->200, len Δ1528, body changed, type changed
        item: X-Original-URL: /
        curl: curl -i -sS -k -H 'User-Agent: nomore403' -H 'X-Original-URL: /' 'https://target.tld/admin'

كيفية قراءة المخرجات

مخرجات التقنيات الرئيسية

كل سطر مرئي هو استجابة اختلفت عن الأساس (baseline) بدرجة كافية لتجاوز الترشيح.

الحقول النموذجية:

• اسم مستعار للتقنية، مثل hdr-ip، abs-uri، أو parser
• علامة درجة مضغوطة مثل 18.، 61+، أو 100!
• حالة الاستجابة النهائية
• حجم الاستجابة
• العنصر أو المحمّل (payload) المستخدم

انتقالات الملخص

تظهر الملخصات النهائية انتقالات الأساس إلى النتيجة:

• 403=>200 يستحق عادةً اهتماماً فورياً
• 403=>302 قد يكون مثيراً للاهتمام، لكنه قد يظل يعود إلى حاجز مصادقة
• 403->400 أو 403->404 عادةً ما تشير إلى اختلافات في التحليل أو التوجيه وليس تجاوزاً

الملخصات

في نهاية التشغيل، تطبع nomore403:

• LIKELY BYPASS (تجاوز محتمل)
  • النتائج الأعلى تسجيلاً
  • تتضمن أمر curl قابل للتكرار
• INTERESTING VARIATIONS (اختلافات مثيرة للاهتمام)
  • اختلافات ذات معنى في التحليل أو التوجيه تستحق المراجعة اليدوية
• no visible results (لا توجد نتائج مرئية)
  • عدد التقنيات التي تم تشغيلها لكنها لم تُنتج مخرجات مرئية بعد الترشيح

نموذج التسجيل

التسجيل هو استكشافي (heuristic). الهدف منه هو ترتيب النتائج حسب الأولوية، لا إثبات الاستغلال.

تشجع الأداة عموماً:

• الانتقالات إلى 2xx
• الانتقالات إلى 3xx
• تغييرات كبيرة في طول النص (body)
• تغييرات في تجزئة النص (body hash)
• تغييرات في Location
• إعادة توجيه شاذة لا تبدو أنها تؤدي إلى صفحة تسجيل دخول أو رفض
• الاختلافات التي تصمد عند إعادة التنفيذ

تخفض الأداة عموماً من ترتيب:

• الاستجابات المتطابقة تقريباً
• الضوضاء المتكررة من المحلل (parser)
• نتائج إعادة التنفيذ غير المستقرة
• إعادة توجيه فارغة النص تبدو أنها تؤدي إلى التحكم في الوصول
• حالات كثيرة من 400 و 404 ما لم يتغير الاستجابة بشكل جوهري أيضاً

التفسير الموصى به:

• HIGH: قابلة للتنفيذ غالباً؛ راجعها أولاً
• MED: مرشح معقول؛ عادةً يستحق إعادة تنفيذ يدوي
• LOW: اختلاف في المحلل، شذوذ في التوجيه، أو سلوك ذو ثقة منخفضة

المعايرة التلقائية (Auto-Calibration)

المعايرة التلقائية مفعلة افتراضياً في الوضع غير المفصل (non-verbose).

ترسل طلبات إلى عدة مسارات غير موجودة وتبني أساساً لسلوك الخطأ الافتراضي للهدف. كما تقوم بطلب معايرة قائم على الأجزاء (fragment-based) لتقليل النتائج الإيجابية الخاطئة الناتجة عن المسارات المجردة من الأجزاء.

استخدم هذه العلامات للتحكم فيها:

• --no-calibrate
  • قارن فقط مقابل الاستجابة المحظورة الافتراضية
• --strict-calibrate
  • قارن أيضاً تجزئة النص والترويسات الرئيسية مثل Location، Content-Type، و Server

التقنيات

تقوم الأداة بتشغيل جميع التقنيات افتراضياً ما لم تحدد -k.

تحويرات الأسلوب والفعل (Method and verb mutations)

• verbs
  • أساليب HTTP بديلة من payloads/httpmethods
• verbs-case
  • حالة عشوائية لأساليب HTTP (أحرف كبيرة/صغيرة)
• method-override
  • أنماط تجاوز الأسلوب عبر الاستعلام (query)، الترويسة (header)، والنص (body)

تحويرات تعتمد على الترويسات والثقة (Header- and trust-based mutations)