NoMore403

nomore403 est un outil en ligne de commande permettant de tester les contournements du contrôle d'accès HTTP et les incohérences d'analyse autour des réponses 401, 403 et autres réponses associées.

L'outil est conçu pour les travaux pratiques de sécurité web : bug bounty, tests d'intrusion, revues de sécurité et tests de régression des règles de contrôle d'accès. Il automatise un large ensemble de mutations de requêtes, capture une référence, filtre les faux positifs courants et met en évidence les réponses les plus susceptibles de représenter un contournement significatif.

Ce qu'il fait

Étant donné une URL cible, nomore403 :

1. Envoie une requête de référence pour capturer la réponse bloquée.
2. Optionnellement, s'auto-calibre par rapport à des chemins inexistants pour apprendre le comportement d'erreur par défaut de la cible.
3. Exécute un ensemble de techniques de contournement qui modifient le chemin, la méthode, les en-têtes ou le format filaire de la requête.
4. Note et regroupe les résultats pour réduire le bruit.
5. Émet des preuves reproductibles, y compris des commandes curl pour les découvertes intéressantes.

Cet outil ne « casse pas l'authentification » en lui-même. Il aide à trouver les différences dans la manière dont les frontends, proxys, WAF, CDN, routeurs d'application et backends interprètent la même requête.

Fonctionnalités

• Comparaison basée sur une référence avec la réponse bloquée
• Auto-calibration pour réduire les faux positifs provenant des réponses par défaut 404 ou de chemins parents
• Sortie notée avec des résumés séparés pour les contournements probables et les variations intéressantes
• Rejeu et reproductibilité pour les découvertes de grande valeur
• Réessai et backoff pour les pannes réseau transitoires
• Exécution concurrente avec progression par technique
• Support HTTP brut pour les formes de requêtes que net/http normalise
• Sortie JSON et JSONL pour les pipelines et le post-traitement
• Entrée depuis une URL unique, fichier d'URL, stdin, ou fichiers de requêtes

Installation

Compilation depuis les sources

git clone https://github.com/devploit/nomore403
cd nomore403
go build

Installation avec Go

go install github.com/devploit/nomore403@latest

Si vous installez avec go install, le répertoire payloads/ n'est pas installé automatiquement. Clonez le dépôt et pointez l'outil vers ce répertoire avec -f si nécessaire.

Prérequis

• Go 1.24 ou ultérieur pour compiler depuis les sources
• curl disponible dans PATH pour les techniques qui en dépendent, telles que :
  • http-versions
  • http-parser
  • absolute-uri

La plupart des techniques fonctionnent sans curl.

Démarrage rapide

Analyse de base :

./nomore403 -u https://target.tld/admin

Utiliser un proxy et une sortie verbose :

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

Exécuter uniquement certaines techniques :

./nomore403 -u https://target.tld/admin -k headers,absolute-uri,raw-desync

Lire les cibles depuis stdin :

cat urls.txt | ./nomore403

Utiliser un fichier de requête de style Burp :

./nomore403 --request-file request.txt

Écrire une sortie lisible par machine :

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

Exemple de sortie

target: https://target.tld/admin   method: GET   frontend: AWS ELB/ALB   payloads: payloads

calib: 404 | 1245b | ±50 | frag 703b

BASELINE
  default       403    520 bytes    https://target.tld/admin

FINDINGS
  hdr-ip     100! 200   2048 bytes   X-Original-URL: /
  abs-uri     26. 403    236 bytes   request-target: https://target.tld/admin
  http        18. 400    122 bytes   HTTP/2

no visible results: 17 techniques

━━━━━━━━━━━━━━ LIKELY BYPASS ━━━━━━━━━━━━━━━━━
[!100 HIGH] Header injection (IP) 403=>200    2048b
         why: status 403->200, len Δ1528, body changed, type changed
        item: X-Original-URL: /
        curl: curl -i -sS -k -H 'User-Agent: nomore403' -H 'X-Original-URL: /' 'https://target.tld/admin'

Comment lire la sortie

Sortie principale des techniques

Chaque ligne visible correspond à une réponse qui s'est suffisamment écartée de la référence pour survivre au filtrage.

Champs typiques :

• alias de la technique, par exemple hdr-ip, abs-uri ou parser
• indicateur de score compact tel que 18., 61+ ou 100!
• statut de la réponse finale
• taille de la réponse
• élément ou charge utile utilisée

Transitions dans les résumés

Les résumés finaux montrent les transitions de la référence au résultat :

• 403=>200 mérite généralement une attention immédiate
• 403=>302 peut être intéressant, mais peut encore rediriger vers une barrière d'authentification
• 403->400 ou 403->404 signalent généralement des différences d'analyseur ou de routage plutôt qu'un contournement

Résumés

À la fin de l'exécution, nomore403 affiche :

• CONTOURNEMENT PROBABLE
  • résultats les mieux notés
  • inclut une commande curl reproductible
• VARIATIONS INTÉRESSANTES
  • différences d'analyseur ou de routage significatives qui méritent une vérification manuelle
• aucun résultat visible
  • nombre de techniques qui ont été exécutées mais n'ont produit aucun résultat visible après filtrage

Modèle de notation

La notation est heuristique. Elle vise à prioriser les résultats, pas à prouver l'exploitation.

L'outil favorise généralement :

• les transitions vers 2xx
• les transitions vers 3xx
• les changements importants de longueur du corps
• les changements de hachage du corps
• les changements de Location
• les redirections anormales qui ne semblent pas aboutir à une page de connexion ou de refus
• les différences qui survivent au rejeu

L'outil dévalorise généralement :

• les réponses quasi identiques
• le bruit d'analyse répété
• les résultats de rejeu instables
• les redirections avec corps vide qui semblent ramener vers un contrôle d'accès
• de nombreux cas 400 et 404 sauf si la réponse change également de manière substantielle

Interprétation recommandée :

• HAUTE : probablement exploitable ; à examiner en premier
• MOYENNE : candidat plausible ; généralement intéressant à rejouer manuellement
• BASSE : différence d'analyseur, anomalie de routage ou comportement de moindre confiance

Auto-calibration

L'auto-calibration est activée par défaut en mode non verbose.

Elle envoie des requêtes vers plusieurs chemins inexistants et construit une référence pour le comportement d'erreur par défaut de la cible. Elle effectue également une requête de calibration basée sur des fragments pour réduire les faux positifs causés par les chemins dont les fragments sont supprimés.

Utilisez ces drapeaux pour la contrôler :