WebSecProbe एक सुरक्षा परीक्षण उपयोगिता है जिसे वेब सुरक्षा शोधकर्ताओं, पेनिट्रेशन टेस्टरों और सिस्टम प्रशासकों के लिए डिज़ाइन किया गया है ताकि वे HTTP 403 (Forbidden) प्रतिक्रियाओं और वेब एप्लिकेशनों में पहुँच नियंत्रण व्यवहार का विश्लेषण कर सकें।

यह उपकरण गलत कॉन्फ़िगरेशन, असंगत प्राधिकरण जाँच और अनपेक्षित पहुँच पथों की पहचान करने में सहायता करता है, जो अनुरोध विविधताओं, हेडर और एंडपॉइंट्स का व्यवस्थित परीक्षण करके काम करता है। ये तकनीकें उन कमजोरियों को उजागर करने में मदद करती हैं जो मैन्युअल परीक्षण के दौरान अनदेखी रह सकती हैं।

WebSecProbe केवल अधिकृत सुरक्षा आकलन और रक्षात्मक अनुसंधान के लिए है, जो टीमों को पहुँच नियंत्रण कार्यान्वयन को मान्य करने और अपने वेब एप्लिकेशनों की समग्र सुरक्षा मुद्रा को मजबूत करने में सक्षम बनाता है।

[!IMPORTANT] इस उपकरण का उपयोग केवल उन एप्लिकेशनों पर करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति है।

Google Colab पर मुफ्त ऑनलाइन चलाएँ

यह उपकरण एक प्रूफ़ ऑफ़ कॉन्सेप्ट है और केवल शैक्षिक उद्देश्यों के लिए है।

WebSecProbe को लक्ष्य URL पर विभिन्न पेलोड के साथ HTTP अनुरोधों की एक श्रृंखला निष्पादित करने के लिए डिज़ाइन किया गया है ताकि संभावित सुरक्षा कमजोरियों या गलत कॉन्फ़िगरेशन का परीक्षण किया जा सके। कोड का संक्षिप्त विवरण इस प्रकार है:

यह लक्ष्य URL और पथ के लिए उपयोगकर्ता इनपुट लेता है।
यह पेलोड की एक सूची परिभाषित करता है जो विभिन्न HTTP अनुरोध विविधताओं का प्रतिनिधित्व करती है, जैसे URL-एन्कोडेड वर्ण, विशेष हेडर और विभिन्न HTTP विधियाँ।
यह प्रत्येक पेलोड के माध्यम से लूप करता है और पेलोड को लक्ष्य URL में जोड़कर एक पूर्ण URL बनाता है।
प्रत्येक निर्मित URL के लिए, यह requests लाइब्रेरी का उपयोग करके HTTP GET अनुरोध भेजता है, और प्रतिक्रिया स्थिति कोड और सामग्री लंबाई को कैप्चर करता है।
यह प्रत्येक अनुरोध के लिए निर्मित URL, स्थिति कोड और सामग्री लंबाई प्रिंट करता है, जो लक्ष्य सर्वर से प्रत्येक विविधता की प्रतिक्रिया के परिणाम दिखाता है।
सभी पेलोड का परीक्षण करने के बाद, यह जाँचने के लिए Wayback Machine (एक वेब संग्रह) से क्वेरी करता है कि लक्ष्य URL/पथ के कोई संग्रहित स्नैपशॉट हैं या नहीं। यदि उपलब्ध हैं, तो यह निकटतम संग्रहित स्नैपशॉट की जानकारी प्रिंट करता है।

क्या यह उपकरण 403 को बायपास करता है?

कोड का उद्देश्य सर्वर के व्यवहार का परीक्षण करना है जब विभिन्न अनुरोध किए जाते हैं, जिनमें विभिन्न पेलोड, हेडर और URL विविधताएँ शामिल हैं। जबकि कोड में कुछ पेलोड और हेडर का उपयोग कुछ परिदृश्यों में संभावित सुरक्षा गलत कॉन्फ़िगरेशन या कमजोरियों का परीक्षण करने के लिए किया जा सकता है, यह गारंटी नहीं देता कि यह 403 Forbidden स्थिति कोड को बायपास करेगा।

संक्षेप में, यह कोड विभिन्न अनुरोधों के प्रति वेब सर्वर की प्रतिक्रियाओं का पता लगाने और विश्लेषण करने का एक उपकरण है, लेकिन यह 403 Forbidden स्थिति कोड को बायपास कर सकता है या नहीं, यह लक्ष्य सर्वर द्वारा कार्यान्वित विशिष्ट कॉन्फ़िगरेशन और सुरक्षा उपायों पर निर्भर करता है।

विस्तार करने के लिए क्लिक करें: पेलोड ब्रेकडाउन

यहाँ पेलोड का संक्षिप्त विवरण दिया गया है:

खाली स्ट्रिंग:
- पेलोड के रूप में एक खाली स्ट्रिंग।
URL एन्कोडिंग (%2e):
- पथ के साथ संयोजित एक डॉट (.) का URL एन्कोडिंग।
पथ जिसमें स्लैश (/) हो:
- पथ के बाद स्लैश (/)।
डबल स्लैश (//):
- पथ से पहले और बाद में डबल स्लैश।
पथ जिसमें वर्तमान निर्देशिका (./) हो:
- पथ से पहले और बाद में वर्तमान निर्देशिका (./)।
अनुरोध हेडर (-H X-Original-URL):
- पथ के साथ X-Original-URL हेडर।
अनुरोध हेडर (-H X-Custom-IP-Authorization):
- IP पता 127.0.0.1 के साथ X-Custom-IP-Authorization हेडर।
अनुरोध हेडर (-H X-Forwarded-For):
- IP पता http://127.0.0.1 और 127.0.0.1:80 के साथ X-Forwarded-For हेडर।
अनुरोध हेडर (-H X-rewrite-url):
- पथ के साथ X-rewrite-url हेडर।
URL एन्कोडिंग (%20 और %09):
- स्पेस (%20) और टैब (%09) के साथ URL एन्कोडिंग।
क्वेरी पैरामीटर (?):
- प्रश्न चिह्न (?) के साथ क्वेरी पैरामीटर।
पथ जिसमें HTML एक्सटेंशन (.html) हो:
- .html एक्सटेंशन के साथ पथ।
पथ जिसमें क्वेरी स्ट्रिंग (/?anything) हो:
- पथ के बाद क्वेरी स्ट्रिंग।
फ़्रैगमेंट आइडेंटिफ़ायर (#):
- हैश (#) के साथ फ़्रैगमेंट आइडेंटिफ़ायर।
POST अनुरोध हेडर (-H Content-Length:0 -X POST):
- Content-Length हेडर को 0 पर सेट करके POST अनुरोध।
वाइल्डकार्ड (*):
- पथ के बाद वाइल्डकार्ड।
पथ जिसमें PHP एक्सटेंशन (.php) हो:

OS संगतता :

आवश्यकताएँ:

⭔ PYPI इंस्टॉलेशन : https://pypi.org/project/WebSecProbe/

pip install WebSecProbe

CLI पर कैसे चलाएँ:

WebSecProbe <URL> <Path>

उदाहरण:

WebSecProbe https://example.com admin-login

Python कोड

from WebSecProbe.main import WebSecProbe

if __name__ == "__main__":
    url = 'https://example.com'  # अपने लक्ष्य URL से बदलें
    path = 'admin-login'  # अपने इच्छित पथ से बदलें

    probe = WebSecProbe(url, path)
    probe.run()

योगदान:

योगदान और फीचर अनुरोधों का स्वागत है! यदि आप किसी समस्या का सामना करते हैं या सुधार के लिए विचार हैं, तो बेझिझक एक issue खोलें या pull request सबमिट करें।

😴🥱😪💤 ToDo:

401 और हेडर बायपास

WebSecProbe

सबसे लोकप्रिय