Forbidden Buster ist ein Werkzeug, das entwickelt wurde, um verschiedene Techniken zu automatisieren, um HTTP-401- und 403-Antwortcodes zu umgehen und Zugang zu unbefugten Bereichen des Systems zu erhalten. Dieser Code ist ausschließlich für Sicherheitsbegeisterte und Fachleute bestimmt. Benutzung auf eigene Gefahr.

Funktionen

Testet HTTP-401- und 403-Antwortcodes, um potenzielle Umgehungstechniken zu entdecken.
Nutzt verschiedene Methoden und Header, um Zugriffskontrollen zu testen und zu umgehen.
Anpassbar über Befehlszeilenargumente.

🚀 Aktualisierungen

API-Fuzzing-Methoden hinzugefügt, die verschiedene API-Versionen testen und auch die Daten manipulieren.
Rate-Limiting-Funktion vorerst entfernt. Bessere Implementierung in der Zukunft.

Installation und Verwendung

Anforderungen installieren

pip3 install -r requirements.txt

Skript ausführen

python3 forbidden_buster.py -u http://example.com

Docker verwenden

Sie können auch Docker verwenden, um Forbidden-Buster auszuführen. Dieser Ansatz stellt sicher, dass Sie eine konsistente Umgebung haben, ohne Python auf Ihrem Host-Rechner installieren zu müssen.

Docker-Image erstellen

Erstellen Sie zunächst das Docker-Image:

docker build -t forbidden-buster-image .

Docker-Container ausführen

Führen Sie dann den Docker-Container aus. Übergeben Sie das Skript forbidden_buster.py an den Container.

docker run --rm -it -v /path/to/forbidden_buster.py:/app/forbidden_buster.py forbidden-buster-image /bin/bash

[!NOTE]
Stellen Sie sicher, dass Sie /path/to/forbidden_buster.py durch den tatsächlichen Pfad zu Ihrer forbidden_buster.py-Datei ersetzen. Dieser Befehl mountet Ihre lokale Datei in das /app-Verzeichnis im Container, sodass Sie das Skript forbidden_buster.py direkt ausführen können.

Navigieren Sie im Container zum Verzeichnis /app und führen Sie das Skript wie gewohnt aus.

Argumente

Forbidden Buster akzeptiert die folgenden Argumente:

  -h, --help            show this help message and exit
  -u URL, --url URL     Full path to be used
  -f FILE, --file FILE  Include a file with multiple URLs to be tested.
  -o OUTPUT, --output OUTPUT
                        Print the results to an output file, Usage i.e: output.txt.
  -m METHOD, --method METHOD
                        Method to be used. Default is GET.
  -H HEADER, --header HEADER
                        Add a custom header.
  -d DATA, --data DATA  Add data to requset body. JSON is supported with escaping.
  -p PROXY, --proxy PROXY
                        Use Proxy, Usage i.e: 127.0.0.1:8080.
  --include-unicode     Include Unicode fuzzing (stressful).
  --include-user-agent  Include User-Agent fuzzing (stressful).
  --include-api         Include API fuzzing.

Beispielverwendung:

python3 forbidden_buster.py --url "https://example.com/api/v1/secret" --method POST --header "Authorization: Bearer XXX" --data '{\"key\":\"value\"}' --proxy "http://proxy.example.com" --include-api --include-unicode

Danksagungen

Hacktricks - Besonderer Dank für die Bereitstellung wertvoller Techniken und Einblicke, die in diesem Tool verwendet wurden.
SecLists - Anerkennung an danielmiesslers SecLists für die Bereitstellung der Wortlisten.
kaimi - Anerkennung an kaimis Wortliste "Mögliche IP-Bypass-HTTP-Header".

Forbidden-Buster

Beliebteste