Bash 403/401 एक्सेस बायपास टेस्टर जो हेडर स्पूफिंग, मेथड टैम्परिंग, पाथ नॉर्मलाइज़ेशन और एन्कोडिंग तकनीकों के साथ एक URL की जाँच करता है, सफल होने पर curl PoC लौटाता है।
जो निषिद्ध है उसे उजागर करें।
Brute Logic द्वारा 403 बायपास टेस्टर।
King of Noobs सूट का हिस्सा — KISS और Pareto सिद्धांत पर बने आक्रामक रेकॉन टूल्स। सरल, तेज़ और प्रभावी।
unKover एक URL जो 403 Forbidden (या 401 Unauthorized) लौटाता है, को सिद्ध बायपास तकनीकों के एक सेट के विरुद्ध परीक्षण करता है और पहली सफल तकनीक पर रुक जाता है, तथा एक तैयार-से-चलाने योग्य curl PoC लौटाता है।
तकनीकों में IP हेडर स्पूफिंग, RFC 7239 Forwarded हेडर स्पूफिंग, मेथड टैम्परिंग, प्रोटोकॉल हेडर, पाथ नॉर्मलाइज़ेशन, URL एन्कोडिंग, HTTP/1.0 डाउनग्रेड, हॉप-बाय-हॉप हेडर, पाथ सफ़िक्स इंजेक्शन, और API वर्ज़न प्रीफ़िक्स बायपास शामिल हैं।
कोई रनटाइम नहीं। कोई pip install नहीं। कोई npm नहीं। कोई सप्लाई चेन जोखिम नहीं।
Bash और curl हर Linux सिस्टम पर पहले से मौजूद हैं। स्क्रिप्ट छोटी, पठनीय और किसी के भी द्वारा सेकंडों में ऑडिट करने योग्य है। यह कोई सीमा नहीं है — यही तो बात है।
bash unkover <URL> [--prefix /v2] [-j|--json]
URL — लक्ष्य URL जो 403 या 401 लौटाता है (आवश्यक)--prefix — परीक्षण के लिए अतिरिक्त पाथ प्रीफ़िक्स (वैकल्पिक)। कुछ सर्वर /admin की सुरक्षा करते हैं लेकिन /v2/admin या /api/admin की नहीं। जो भी प्रीफ़िक्स लक्ष्य के लिए प्रासंगिक हो, वह दें।-j|--json — परिणाम JSON प्रारूप में आउटपुट करेंbash unkover https://target.com/admin
bash unkover https://target.com/admin --prefix /v2
bash unkover https://target.com/admin -j | jq
वास्तविक समय में दिखाता है कि कौन सी तकनीक परीक्षण की जा रही है। बायपास मिलने पर, तकनीक का नाम, PoC curl कमांड, और परिणाम स्थिति व आकार आउटपुट करता है। बायपास न मिलने पर, स्पष्ट रूप से रिपोर्ट करता है।
मेटाडेटा सहित JSON आउटपुट के लिए -j का उपयोग करें, जिसमें टूल वर्ज़न, टाइमस्टैम्प, बीता समय, निष्कर्ष, और बेसलाइन शामिल हैं।
unKover का परीक्षण एक लाइव लक्ष्य के विरुद्ध करें जो विशेष रूप से इस टूल के लिए बनाया गया है:
https://403.brutelogic.net/access
विभिन्न बायपास वेक्टरों के साथ कई सर्वर कॉन्फ़िगरेशन (nginx, Apache)।
हम सब शाश्वत नौसिखिए हैं।
यह परियोजना एक सरल सत्य से जन्मी: चाहे हम सुरक्षा में कितनी भी गहराई तक जाएँ, हम शाश्वत नौसिखिए ही रहते हैं। सीखने के लिए हमेशा और होता है, और विनम्रता हमारा सबसे बड़ा लाभ है।
"King of Noobs" मूल रूप से X पर मुझ पर एक अपमान के रूप में फेंका गया था — क्योंकि मैं जटिलता के पीछे गेटकीपिंग करने के बजाय, KISS और Pareto सिद्धांत का पालन करते हुए, चीज़ों को सबसे सरल संभव तरीके से साझा करता रहा।
मैंने ताज पहनने का फैसला किया।
इसलिए नहीं कि मैं खुद को सर्वश्रेष्ठ मानता हूँ, बल्कि इसलिए कि असली अभिजात वर्ग वे हैं जो कभी छात्र बनना बंद नहीं करते। वे जो विनम्र रहते हैं, उपयोगी चीज़ें बनाते हैं, और बिना अहंकार के दूसरों को आगे बढ़ने में मदद करते हैं।
यही King of Noobs के बारे में है।
मूल रूप से "Keep It Simple, Stupid!" — यहाँ Keep It Simple and Short के रूप में प्रयुक्त। एक और K, जानबूझकर। टूल्स डिज़ाइन से ही छोटे हैं। छोटा मतलब पठनीय। पठनीय मतलब ऑडिट करने योग्य। ऑडिट करने योग्य मतलब भरोसेमंद।
हर टूल के नाम में K ताज है। हमेशा अपरकेस। हमेशा मौजूद।
| Tool | Purpose |
|---|---|
| reKon | मास्टर ऑर्केस्ट्रेटर — पूरी रेकॉन पाइपलाइन चलाता है |
| disKovery | सबडोमेन डिस्कवरी |
| reKover | URL मैपिंग (पैसिव + ब्रूट + क्रॉल) |
| unKover | 403 बायपास / एक्सेस कंट्रोल एवेज़न |
एक Brute Logic परियोजना।
MIT