NoMore403

nomore403 es una herramienta de línea de comandos para probar bypass de control de acceso HTTP e inconsistencias en analizadores alrededor de respuestas 401, 403 y relacionadas.

La herramienta está diseñada para trabajo práctico en seguridad web: bug bounty, pruebas de penetración, revisiones de seguridad y pruebas de regresión de reglas de control de acceso. Automatiza un amplio conjunto de mutaciones de solicitudes, captura una línea de base, filtra falsos positivos comunes y resalta las respuestas con mayor probabilidad de representar un bypass significativo.

Qué Hace

Dada una URL objetivo, nomore403:

1. Envía una solicitud de línea de base para capturar la respuesta bloqueada.
2. Opcionalmente se autocalibra contra rutas inexistentes para aprender el comportamiento de error predeterminado del objetivo.
3. Ejecuta un conjunto de técnicas de bypass que mutan la ruta de la solicitud, método, cabeceras o formato de red.
4. Puntúa y agrupa los resultados para reducir el ruido.
5. Emite evidencia reproducible, incluidos comandos curl para los hallazgos interesantes.

Esta herramienta no "rompe la autenticación" por sí sola. Ayuda a encontrar diferencias entre cómo los frontends, proxies, WAFs, CDNs, enrutadores de aplicación y backends interpretan la misma solicitud.

Características

• Comparación basada en línea de base contra la respuesta bloqueada
• Autocalibración para reducir falsos positivos de respuestas 404 o de ruta padre predeterminadas
• Salida puntuada con resúmenes separados para bypass probables y variaciones interesantes
• Reproducción y repetibilidad para hallazgos de alto valor
• Reintento y retroceso para fallos de red transitorios
• Ejecución concurrente con progreso por técnica
• Soporte de HTTP raw para formas de solicitud que net/http normaliza
• Salida JSON y JSONL para pipelines y post-procesamiento
• Entrada desde una sola URL, archivos de URL, stdin o archivos de solicitud

Instalación

Compilar desde el código fuente

git clone https://github.com/devploit/nomore403
cd nomore403
go build

Instalar con Go

go install github.com/devploit/nomore403@latest

Si instalas con go install, el directorio payloads/ no se instala automáticamente. Clona el repositorio y apunta la herramienta a ese directorio con -f si es necesario.

Requisitos

• Go 1.24 o posterior para compilar desde el código fuente
• curl disponible en PATH para técnicas que dependen de él, como:
  • http-versions
  • http-parser
  • absolute-uri

La mayoría de las técnicas funcionan sin curl.

Inicio Rápido

Escaneo básico:

./nomore403 -u https://target.tld/admin

Usar un proxy y salida verbosa:

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

Ejecutar solo técnicas seleccionadas:

./nomore403 -u https://target.tld/admin -k headers,absolute-uri,raw-desync

Leer objetivos desde stdin:

cat urls.txt | ./nomore403

Usar un archivo de solicitud estilo Burp:

./nomore403 --request-file request.txt

Escribir salida legible por máquina:

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

Ejemplo de Salida

target: https://target.tld/admin   method: GET   frontend: AWS ELB/ALB   payloads: payloads

calib: 404 | 1245b | ±50 | frag 703b

BASELINE
  default       403    520 bytes    https://target.tld/admin

FINDINGS
  hdr-ip     100! 200   2048 bytes   X-Original-URL: /
  abs-uri     26. 403    236 bytes   request-target: https://target.tld/admin
  http        18. 400    122 bytes   HTTP/2

no visible results: 17 techniques

━━━━━━━━━━━━━━ LIKELY BYPASS ━━━━━━━━━━━━━━━━━
[!100 HIGH] Header injection (IP) 403=>200    2048b
         why: status 403->200, len Δ1528, body changed, type changed
        item: X-Original-URL: /
        curl: curl -i -sS -k -H 'User-Agent: nomore403' -H 'X-Original-URL: /' 'https://target.tld/admin'

Cómo Leer la Salida

Salida principal de técnicas

Cada línea visible es una respuesta que difirió lo suficiente de la línea de base como para superar el filtrado.

Campos típicos:

• alias de técnica, por ejemplo hdr-ip, abs-uri o parser
• marcador de puntuación compacto como 18., 61+ o 100!
• estado de respuesta final
• tamaño de respuesta
• ítem o payload utilizado

Transiciones en el resumen

Los resúmenes finales muestran las transiciones de línea de base a resultado:

• 403=>200 suele merecer atención inmediata
• 403=>302 puede ser interesante, pero aún puede resolverse en una barrera de autenticación
• 403->400 o 403->404 suelen indicar diferencias de analizador o enrutamiento, no un bypass

Resúmenes

Al final de la ejecución, nomore403 imprime:

• LIKELY BYPASS
  • resultados con mayor puntuación
  • incluye curl reproducible
• INTERESTING VARIATIONS
  • diferencias significativas de analizador o enrutamiento que merecen revisión manual
• no visible results
  • conteo de técnicas que se ejecutaron pero no produjeron salida visible después del filtrado

Modelo de Puntuación

La puntuación es heurística. Está destinada a priorizar resultados, no a probar explotación.

La herramienta generalmente recompensa:

• transiciones a 2xx
• transiciones a 3xx
• cambios grandes en el tamaño del cuerpo
• cambios en el hash del cuerpo
• cambios en Location
• redirecciones anómalas que no parecen resolverse en un flujo de inicio de sesión o denegado
• diferencias que sobreviven a la reproducción

La herramienta generalmente penaliza:

• respuestas casi idénticas
• ruido repetido del analizador
• resultados inestables en la reproducción
• redirecciones con cuerpo vacío que parecen llevar de vuelta al control de acceso
• muchos casos de 400 y 404 a menos que la respuesta también cambie sustancialmente

Interpretación recomendada:

• HIGH: probablemente accionable; revisar primero
• MED: candidato plausible; generalmente vale la pena una reproducción manual
• LOW: diferencia de analizador, anomalía de enrutamiento o comportamiento de baja confianza

Autocalibración

La autocalibración está habilitada por defecto en modo no verboso.

Envía solicitudes a varias rutas inexistentes y construye una línea de base para el comportamiento de error predeterminado del objetivo. También realiza una solicitud de calibración basada en fragmentos para reducir falsos positivos causados por rutas sin fragmentos.

Usa estas banderas para controlarlo:

• --no-calibrate
  • comparar solo con la respuesta bloqueada predeterminada
• --strict-calibrate
  • también compara el hash del cuerpo y cabeceras clave como Location, Content-Type y Server

Técnicas

La herramienta ejecuta todas las técnicas por defecto a menos que especifiques -k.

Mutaciones de método y verbo