NoMore403

nomore403 è uno strumento da riga di comando per testare bypass dei controlli di accesso HTTP e incongruenze del parser relative a risposte 401, 403 e affini.

Lo strumento è progettato per il lavoro pratico di sicurezza web: bug bounty, penetration testing, revisioni di sicurezza e test di regressione delle regole di controllo degli accessi. Automatizza un'ampia serie di mutazioni delle richieste, cattura una baseline, filtra i falsi positivi comuni ed evidenzia le risposte con maggiori probabilità di rappresentare un bypass significativo.

Cosa Fa

Data un URL di destinazione, nomore403:

1. Invia una richiesta di baseline per catturare la risposta bloccata.
2. Opzionalmente si autocalibra rispetto a percorsi inesistenti per apprendere il comportamento predefinito di errore del target.
3. Esegue un insieme di tecniche di bypass che mutano il percorso della richiesta, il metodo, gli header o il formato wire.
4. Valuta e raggruppa i risultati per ridurre il rumore.
5. Emette prove riproducibili, inclusi comandi curl per risultati interessanti.

Questo strumento non "rompe l'autenticazione" da solo. Aiuta a trovare differenze nel modo in cui frontend, proxy, WAF, CDN, router applicativi e backend interpretano la stessa richiesta.

Caratteristiche

• Confronto basato sulla baseline rispetto alla risposta bloccata
• Autocalibrazione per ridurre i falsi positivi da risposte predefinite 404 o da percorsi genitore
• Output con punteggio con riepiloghi separati per bypass probabili e variazioni interessanti
• Riproducibilità per risultati di alto valore
• Riprova e backoff per guasti di rete transitori
• Esecuzione concorrente con progresso per tecnica
• Supporto HTTP raw per forme di richiesta che net/http normalizza
• Output JSON e JSONL per pipeline e post-elaborazione
• Input da un singolo URL, file di URL, stdin o file di richiesta

Installazione

Compilare dal codice sorgente

git clone https://github.com/devploit/nomore403
cd nomore403
go build

Installare con Go

go install github.com/devploit/nomore403@latest

Se installi con go install, la directory payloads/ non viene installata automaticamente. Clona il repository e punta lo strumento a quella directory con -f se necessario.

Requisiti

• Go 1.24 o successivo per compilare dal codice sorgente
• curl disponibile in PATH per le tecniche che dipendono da esso, come:
  • http-versions
  • http-parser
  • absolute-uri

La maggior parte delle tecniche funziona senza curl.

Avvio Rapido

Scansione base:

./nomore403 -u https://target.tld/admin

Usa un proxy e output verbose:

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

Esegui solo tecniche selezionate:

./nomore403 -u https://target.tld/admin -k headers,absolute-uri,raw-desync

Leggi target da stdin:

cat urls.txt | ./nomore403

Usa un file di richiesta in stile Burp:

./nomore403 --request-file request.txt

Scrivi output leggibile dalla macchina:

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

Esempio di Output

target: https://target.tld/admin   method: GET   frontend: AWS ELB/ALB   payloads: payloads

calib: 404 | 1245b | ±50 | frag 703b

BASELINE
  default       403    520 bytes    https://target.tld/admin

FINDINGS
  hdr-ip     100! 200   2048 bytes   X-Original-URL: /
  abs-uri     26. 403    236 bytes   request-target: https://target.tld/admin
  http        18. 400    122 bytes   HTTP/2

no visible results: 17 techniques

━━━━━━━━━━━━━━ LIKELY BYPASS ━━━━━━━━━━━━━━━━━
[!100 HIGH] Header injection (IP) 403=>200    2048b
         why: status 403->200, len Δ1528, body changed, type changed
        item: X-Original-URL: /
        curl: curl -i -sS -k -H 'User-Agent: nomore403' -H 'X-Original-URL: /' 'https://target.tld/admin'

Come Leggere l'Output

Output principale delle tecniche

Ogni riga visibile è una risposta che differisce abbastanza dalla baseline da superare il filtraggio.

Campi tipici:

• alias della tecnica, ad esempio hdr-ip, abs-uri o parser
• marcatore di punteggio compatto come 18., 61+ o 100!
• stato della risposta finale
• dimensione della risposta
• elemento o payload utilizzato

Transizioni del riepilogo

I riepiloghi finali mostrano le transizioni da baseline a risultato:

• 403=>200 di solito merita attenzione immediata
• 403=>302 può essere interessante, ma potrebbe ancora risolversi in una barriera di autenticazione
• 403->400 o 403->404 di solito indicano differenze di parser o routing piuttosto che un bypass

Riepiloghi

Alla fine dell'esecuzione, nomore403 stampa:

• LIKELY BYPASS
  • risultati con punteggio più alto
  • include curl riproducibile
• INTERESTING VARIATIONS
  • differenze significative di parser o routing che meritano una revisione manuale
• no visible results
  • conteggio delle tecniche eseguite ma che non hanno prodotto output visibile dopo il filtraggio

Modello di Punteggio

Il punteggio è euristico. È inteso per prioritizzare i risultati, non per dimostrare lo sfruttamento.

Lo strumento generalmente premia:

• transizioni a 2xx
• transizioni a 3xx
• grandi variazioni della lunghezza del corpo
• variazioni dell'hash del corpo
• variazioni di Location
• reindirizzamenti anomali che non sembrano risolversi in un flusso di login o negato
• differenze che sopravvivono al replay

Lo strumento generalmente declassa:

• risposte quasi identiche
• rumore ripetuto del parser
• risultati di replay instabili
• reindirizzamenti con corpo vuoto che sembrano riportare al controllo degli accessi
• molti casi 400 e 404 a meno che la risposta non cambi sostanzialmente

Interpretazione raccomandata:

• HIGH: probabilmente utilizzabile; rivedere per primo
• MED: candidato plausibile; di solito vale un replay manuale
• LOW: differenza di parser, anomalia di routing o comportamento a bassa confidenza

Autocalibrazione

L'autocalibrazione è abilitata per impostazione predefinita in modalità non verbose.

Invia richieste a diversi percorsi inesistenti e costruisce una baseline per il comportamento predefinito di errore del target. Esegue anche una richiesta di calibrazione basata su frammento per ridurre i falsi positivi causati da percorsi privi di frammento.

Usa questi flag per controllarlo:

• --no-calibrate
  • confronta solo con la risposta bloccata predefinita
• --strict-calibrate
  • confronta anche l'hash del corpo e gli header chiave come Location, Content-Type e Server

Tecniche

Lo strumento esegue tutte le tecniche per impostazione predefinita, a meno che non si specifichi -k.

Mutazioni di metodo e verbo