Forbidden

Bypass códigos de estado de respuesta HTTP 4xx y más.

La herramienta está basada en Python Requests, PycURL y HTTP Client.

Probado en Kali Linux v2024.2 (64-bit).

Hecho con fines educativos. ¡Espero que sea útil!

Planes futuros:

Añadir la opción silent para suprimir la salida de consola.
Añadir la opción no color para deshabilitar la salida de consola coloreada.
Añadir pruebas para las cabeceras de solicitud HTTP hop-by-hop.
Añadir pruebas para la cabecera de solicitud HTTP User-Agent.
Añadir pruebas para cookies HTTP.
Añadir pruebas para contrabando HTTP.
Añadir pruebas para CRLF.
Añadir pruebas para Log4j.
Añadir pruebas para SSRF de metadatos de AWS.

Tabla de Contenidos

Cómo Instalar
Cómo Usar
Pruebas
- Métodos HTTP
- Cabeceras de Solicitud HTTP
Resultados
Uso
Imágenes

Cómo Instalar

Instalar PycURL

En Kali Linux, esto debería funcionar sin problemas; de lo contrario, ejecuta:

apt-get -y install libcurl4-gnutls-dev librtmp-dev

pip3 install --upgrade pycurl

PycURL en Windows OS no es compatible.

En macOS, ejecuta:

brew uninstall curl
brew uninstall openssl

brew install curl
brew install openssl

echo 'export PATH="/opt/homebrew/opt/curl/bin:$PATH"' >> ~/.zshrc
echo 'export PATH="/opt/homebrew/opt/openssl@3/bin:$PATH"' >> ~/.zshrc
source ~/.zshrc

export LDFLAGS="-L/opt/homebrew/opt/curl/lib"
export CPPFLAGS="-I/opt/homebrew/opt/curl/include"
export PYCURL_SSL_LIBRARY=openssl

pip3 install --no-cache-dir --compile --ignore-installed --config-setting="--with-openssl=" --config-setting="--openssl-dir=/opt/homebrew/opt/openssl@3" pycurl

Alternativamente, instala usando Homebrew (no mantenido por mí):

brew install forbidden

Instalación Estándar

pip3 install --upgrade forbidden

Compilar e Instalar desde el Código Fuente

git clone https://github.com/ivan-sincek/forbidden && cd forbidden

python3 -m pip install --upgrade build

python3 -m build

python3 -m pip install dist/forbidden-13.4-py3-none-any.whl

Cómo Usar

Bypass del código de estado de respuesta HTTP 403 Forbidden:

forbidden -u https://example.com/admin -t protocols,methods,uploads,overrides,headers,paths-ram,encodings -f GET -l initial,path -o forbidden_403_results.json

Bypass del código de estado de respuesta HTTP 403 Forbidden con pruebas de estrés:

mkdir stresser_403_results

stresser -u https://example.com/admin -r 1000 -th 200 -f GET -l initial -dir stresser_403_results -o stresser_403_results.json

Bypass del código de estado de respuesta HTTP 401 Unauthorized:

forbidden -u https://example.com/admin -t auths -f GET -l initial -o forbidden_401_results.json

Prueba de redirecciones abiertas y analizadores de URL rotos, es decir, prueba de interacciones fuera de banda (OOB):

forbidden -u https://example.com/admin -t redirects,parsers -f GET -l initial -e xyz.interact.sh -o forbidden_oob_results.json

Pruebas

protocols

Probar los protocolos HTTP y HTTPS usando una dirección IP y un nombre de dominio.
Probar una degradación del protocolo HTTP/1.0 sin la cabecera de solicitud HTTP Host, usando una dirección IP y un nombre de dominio.

methods

Probar los métodos HTTP permitidos, también usando la cabecera de solicitud HTTP Content-Length: 0.
Probar Cross-Site Tracing (XST) usando los métodos HTTP TRACE y TRACK.

uploads

Probar la subida de un archivo de texto de forma recursiva para cada directorio en la ruta de la URL usando el método HTTP PUT.

overrides

Probar la anulación de métodos HTTP usando parámetros de cadena de consulta de URL, cabeceras de solicitud HTTP y cuerpos de solicitud HTTP.
Probar la anulación de esquema de URL usando cabeceras de solicitud HTTP, de HTTPS a HTTP y de HTTP a HTTPS.
Probar la anulación de puerto usando cabeceras de solicitud HTTP.
Probar la anulación de host HTTP usando cabeceras de solicitud HTTP, también usando dos cabeceras de solicitud HTTP Host.
Probar la anulación de ruta de URL usando cabeceras de solicitud HTTP con rutas de URL relativas, usando las siguientes URLs: una URL accesible, URL raíz y URL completa.

headers

Probar cabeceras de solicitud HTTP con direcciones IP, direcciones IP separadas por comas, nombres de dominio, URLs raíz, URLs completas y más.

values

Probar cabeceras de solicitud HTTP con direcciones IP, nombres de dominio, URLs raíz y URLs completas proporcionadas por el usuario.

paths

Probar bypass de ruta de URL.

encodings

Probar transformaciones y codificaciones de host y ruta de URL.

auths

Probar autenticación/autorización básica usando cabeceras de solicitud HTTP con valores nulos y credenciales predefinidas codificadas en Base64.
Probar autenticación/autorización Bearer usando cabeceras de solicitud HTTP con valores nulos, JWTs malformados y JWTs predefinidos.

redirects

Probar redirecciones abiertas usando cabeceras de solicitud HTTP con direcciones IP de redirección, nombres de dominio, URLs raíz y URLs completas.

parsers

Probar analizadores de URL rotos usando cabeceras de solicitud HTTP con direcciones IP rotas, nombres de dominio, URLs raíz y URLs completas.

Si estás interesado en más detalles, consulta:

Observaciones:

Todas las pruebas se basan en informes públicos de infosec y bug bounty.
Algunas pruebas se superponen; sin embargo, se aplica un filtro único antes de enviar cualquier cosa.
Todas las cabeceras de solicitud HTTP, parámetros de cadena de consulta de URL, etc., fueron validadas según la documentación oficial.
Por defecto, tanto Forbidden como Stresser usan el motor Python Requests.
La prueba de degradación del protocolo HTTP/1.0 sin la cabecera de solicitud HTTP Host está bloqueada para el motor HTTP Client. Además, el comando cURL proporcionado no funcionará correctamente porque cURL no permite eliminar la cabecera de solicitud HTTP Host.
La prueba de anulación de host HTTP usando dos cabeceras de solicitud HTTP Host está bloqueada para el motor Python Requests. Además, el comando cURL proporcionado no funcionará correctamente porque cURL no permite usar dos cabeceras de solicitud HTTP Host.
La prueba de transformaciones y codificaciones de host y ruta de URL está bloqueada para el motor PycURL.
Algunos proxies web podrían normalizar URLs (por ejemplo, al probar encodings), modificar solicitudes HTTP o descartar solicitudes HTTP por completo.
Algunos sitios web podrían requerir una cabecera de solicitud HTTP User-Agent válida o muy específica.
Cross-Site Tracing (XST) ya no se considera una vulnerabilidad.
Ten cuidado con el límite de tasa y otras protecciones anti-bot similares; tómate un tiempo antes de ejecutar la herramienta nuevamente en el mismo dominio.

Métodos HTTP

Esto es solo una visión general rápida de lo que se usa, pero no de cómo se usa.

forbidden

Más Populares