WebSecProbe एक सुरक्षा परीक्षण उपयोगिता है जिसे वेब सुरक्षा शोधकर्ताओं, पेनिट्रेशन टेस्टरों और सिस्टम प्रशासकों के लिए डिज़ाइन किया गया है ताकि वे HTTP 403 (Forbidden) प्रतिक्रियाओं और वेब एप्लिकेशनों में पहुँच नियंत्रण व्यवहार का विश्लेषण कर सकें।

यह उपकरण गलत कॉन्फ़िगरेशन, असंगत प्राधिकरण जाँच और अनपेक्षित पहुँच पथों की पहचान करने में सहायता करता है, जो अनुरोध विविधताओं, हेडर और एंडपॉइंट्स का व्यवस्थित परीक्षण करके काम करता है। ये तकनीकें उन कमजोरियों को उजागर करने में मदद करती हैं जो मैन्युअल परीक्षण के दौरान अनदेखी रह सकती हैं।

WebSecProbe केवल अधिकृत सुरक्षा आकलन और रक्षात्मक अनुसंधान के लिए है, जो टीमों को पहुँच नियंत्रण कार्यान्वयन को मान्य करने और अपने वेब एप्लिकेशनों की समग्र सुरक्षा मुद्रा को मजबूत करने में सक्षम बनाता है।

[!IMPORTANT] इस उपकरण का उपयोग केवल उन एप्लिकेशनों पर करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति है।

Google Colab पर मुफ्त ऑनलाइन चलाएँ

यह उपकरण एक प्रूफ़ ऑफ़ कॉन्सेप्ट है और केवल शैक्षिक उद्देश्यों के लिए है।

WebSecProbe को लक्ष्य URL पर विभिन्न पेलोड के साथ HTTP अनुरोधों की एक श्रृंखला निष्पादित करने के लिए डिज़ाइन किया गया है ताकि संभावित सुरक्षा कमजोरियों या गलत कॉन्फ़िगरेशन का परीक्षण किया जा सके। कोड का संक्षिप्त विवरण इस प्रकार है:

यह लक्ष्य URL और पथ के लिए उपयोगकर्ता इनपुट लेता है।
यह पेलोड की एक सूची परिभाषित करता है जो विभिन्न HTTP अनुरोध विविधताओं का प्रतिनिधित्व करती है, जैसे URL-एन्कोडेड वर्ण, विशेष हेडर और विभिन्न HTTP विधियाँ।
यह प्रत्येक पेलोड के माध्यम से लूप करता है और पेलोड को लक्ष्य URL में जोड़कर एक पूर्ण URL बनाता है।
प्रत्येक निर्मित URL के लिए, यह requests लाइब्रेरी का उपयोग करके HTTP GET अनुरोध भेजता है, और प्रतिक्रिया स्थिति कोड और सामग्री लंबाई को कैप्चर करता है।
यह प्रत्येक अनुरोध के लिए निर्मित URL, स्थिति कोड और सामग्री लंबाई प्रिंट करता है, जो लक्ष्य सर्वर से प्रत्येक विविधता की प्रतिक्रिया के परिणाम दिखाता है।
सभी पेलोड का परीक्षण करने के बाद, यह जाँचने के लिए Wayback Machine (एक वेब संग्रह) से क्वेरी करता है कि लक्ष्य URL/पथ के कोई संग्रहित स्नैपशॉट हैं या नहीं। यदि उपलब्ध हैं, तो यह निकटतम संग्रहित स्नैपशॉट की जानकारी प्रिंट करता है।

क्या यह उपकरण 403 को बायपास करता है?

कोड का उद्देश्य सर्वर के व्यवहार का परीक्षण करना है जब विभिन्न अनुरोध किए जाते हैं, जिनमें विभिन्न पेलोड, हेडर और URL विविधताएँ शामिल हैं। जबकि कोड में कुछ पेलोड और हेडर का उपयोग कुछ परिदृश्यों में संभावित सुरक्षा गलत कॉन्फ़िगरेशन या कमजोरियों का परीक्षण करने के लिए किया जा सकता है, यह गारंटी नहीं देता कि यह 403 Forbidden स्थिति कोड को बायपास करेगा।

संक्षेप में, यह कोड विभिन्न अनुरोधों के प्रति वेब सर्वर की प्रतिक्रियाओं का पता लगाने और विश्लेषण करने का एक उपकरण है, लेकिन यह 403 Forbidden स्थिति कोड को बायपास कर सकता है या नहीं, यह लक्ष्य सर्वर द्वारा कार्यान्वित विशिष्ट कॉन्फ़िगरेशन और सुरक्षा उपायों पर निर्भर करता है।

विस्तार करने के लिए क्लिक करें: पेलोड ब्रेकडाउन

यहाँ पेलोड का संक्षिप्त विवरण दिया गया है:

खाली स्ट्रिंग:
- पेलोड के रूप में एक खाली स्ट्रिंग।
URL एन्कोडिंग (%2e):
- पथ के साथ संयोजित एक डॉट (.) का URL एन्कोडिंग।
पथ जिसमें स्लैश (/) हो:
- पथ के बाद स्लैश (/)।
डबल स्लैश (//):
- पथ से पहले और बाद में डबल स्लैश।
पथ जिसमें वर्तमान निर्देशिका (./) हो:
- पथ से पहले और बाद में वर्तमान निर्देशिका (./)।
अनुरोध हेडर (-H X-Original-URL):
- पथ के साथ X-Original-URL हेडर।
अनुरोध हेडर (-H X-Custom-IP-Authorization):
- IP पता 127.0.0.1 के साथ X-Custom-IP-Authorization हेडर।
अनुरोध हेडर (-H X-Forwarded-For):
- IP पता http://127.0.0.1 और 127.0.0.1:80 के साथ X-Forwarded-For हेडर।
अनुरोध हेडर (-H X-rewrite-url):
- पथ के साथ X-rewrite-url हेडर।
URL एन्कोडिंग (%20 और %09):
- स्पेस (%20) और टैब (%09) के साथ URL एन्कोडिंग।
क्वेरी पैरामीटर (?):
- प्रश्न चिह्न (?) के साथ क्वेरी पैरामीटर।
पथ जिसमें HTML एक्सटेंशन (.html) हो:
- .html एक्सटेंशन के साथ पथ।
पथ जिसमें क्वेरी स्ट्रिंग (/?anything) हो:
- पथ के बाद क्वेरी स्ट्रिंग।
फ़्रैगमेंट आइडेंटिफ़ायर (#):
- हैश (#) के साथ फ़्रैगमेंट आइडेंटिफ़ायर।
POST अनुरोध हेडर (-H Content-Length:0 -X POST):
- Content-Length हेडर को 0 पर सेट करके POST अनुरोध।
वाइल्डकार्ड (*):
- पथ के बाद वाइल्डकार्ड।
पथ जिसमें PHP एक्सटेंशन (.php) हो:
- .php एक्सटेंशन के साथ पथ।
पथ जिसमें JSON एक्सटेंशन (.json) हो:
- .json एक्सटेंशन के साथ पथ।
HTTP विधि (-X TRACE):
- TRACE HTTP विधि।
अनुरोध हेडर (-H X-Host):
- IP पता 127.0.0.1 के साथ X-Host हेडर।
पथ ट्रैवर्सल (..;/):
- पथ ट्रैवर्सल।
शुरुआत में व्हाइटस्पेस (" " + self.path):
- पथ की शुरुआत में व्हाइटस्पेस जोड़ा गया।
पथ जिसमें सेमीकोलन (;) हो:
- पथ से पहले और बाद में सेमीकोलन जोड़ा गया।
अतिरिक्त स्लैश के साथ पथ:
- अतिरिक्त स्लैश जोड़कर बायपास का परीक्षण (जैसे, //path)।
URL-एन्कोडेड स्लैश के साथ पथ:
- बायपास करने के लिए URL-एन्कोडेड स्लैश का उपयोग (जैसे, %2Fpath)।
डबल URL-एन्कोडेड स्लैश के साथ पथ:
- डबल URL-एन्कोडेड स्लैश का उपयोग (जैसे, %252Fpath)।
पथ पैरामीटर के साथ पथ:
- पथ पैरामीटर जोड़ना (जैसे, /path;parameter)।
पथ में क्वेरी पैरामीटर के साथ पथ:
- पथ के भीतर क्वेरी पैरामीटर जोड़ना (जैसे, /path?parameter)।
अतिरिक्त डॉट्स के साथ पथ:
- पथ में अतिरिक्त डॉट्स जोड़ना (जैसे, /path/../path)।
यूनिकोड एन्कोडिंग के साथ पथ:
- वर्णों को दर्शाने के लिए यूनिकोड एन्कोडिंग का उपयोग (जैसे, %u002Fpath)।
डबल URL-एन्कोडेड डॉट के साथ पथ:
- डबल URL-एन्कोडेड डॉट का उपयोग (जैसे, %252E)।
URL-एन्कोडेड नल बाइट के साथ पथ:
- URL-एन्कोडेड नल बाइट का उपयोग (जैसे, %00)।
हेक्स एन्कोडिंग के साथ पथ:
- पथ में वर्णों के लिए हेक्स एन्कोडिंग का उपयोग (जैसे, /path%2Ehtml)।

यह सूची वेब सुरक्षा परीक्षण में उपयोग की जाने वाली विभिन्न सामान्य तकनीकों को कवर करती है। हालाँकि, इन पेलोड की प्रभावशीलता लक्ष्य प्रणाली में मौजूद विशिष्ट कमजोरियों या गलत कॉन्फ़िगरेशन पर निर्भर करती है।