Forbidden

Bypassa i codici di stato della risposta HTTP 4xx e altro ancora.

Lo strumento si basa su Python Requests, PycURL e HTTP Client.

Testato su Kali Linux v2024.2 (64-bit).

Realizzato a scopo educativo. Spero che possa essere d'aiuto!

Piani futuri:

• Aggiungere l'opzione silent per sopprimere l'output della console.
• Aggiungere l'opzione no color per disabilitare l'output colorato della console.
• Aggiungere test per le intestazioni di richiesta HTTP hop-by-hop.
• Aggiungere test per l'intestazione di richiesta HTTP User-Agent.
• Aggiungere test per i cookie HTTP.
• Aggiungere test per l'HTTP smuggling.
• Aggiungere test per CRLF.
• Aggiungere test per Log4j.
• Aggiungere test per SSRF dei metadati AWS.

Table of Contents

• Come Installare
  • Installare PycURL
  • Installazione Standard
  • Compilare e Installare dal Sorgente
• Come Usare
• Test
  • Metodi HTTP
  • Intestazioni di Richiesta HTTP
• Risultati
• Utilizzo
• Immagini

Come Installare

Installare PycURL

Su Kali Linux, dovrebbe funzionare senza problemi; altrimenti, esegui:

apt-get -y install libcurl4-gnutls-dev librtmp-dev

pip3 install --upgrade pycurl

---

PycURL su Windows OS non è supportato.

---

Su macOS, esegui:

brew uninstall curl
brew uninstall openssl

brew install curl
brew install openssl

echo 'export PATH="/opt/homebrew/opt/curl/bin:$PATH"' >> ~/.zshrc
echo 'export PATH="/opt/homebrew/opt/openssl@3/bin:$PATH"' >> ~/.zshrc
source ~/.zshrc

export LDFLAGS="-L/opt/homebrew/opt/curl/lib"
export CPPFLAGS="-I/opt/homebrew/opt/curl/include"
export PYCURL_SSL_LIBRARY=openssl

pip3 install --no-cache-dir --compile --ignore-installed --config-setting="--with-openssl=" --config-setting="--openssl-dir=/opt/homebrew/opt/openssl@3" pycurl

In alternativa, installa usando Homebrew (non mantenuto da me):

brew install forbidden

Installazione Standard

pip3 install --upgrade forbidden

Compilare e Installare dal Sorgente

git clone https://github.com/ivan-sincek/forbidden && cd forbidden

python3 -m pip install --upgrade build

python3 -m build

python3 -m pip install dist/forbidden-13.4-py3-none-any.whl

Come Usare

Bypassa il codice di stato della risposta HTTP 403 Forbidden:

forbidden -u https://example.com/admin -t protocols,methods,uploads,overrides,headers,paths-ram,encodings -f GET -l initial,path -o forbidden_403_results.json

Bypassa il codice di stato della risposta HTTP 403 Forbidden con stress testing:

mkdir stresser_403_results

stresser -u https://example.com/admin -r 1000 -th 200 -f GET -l initial -dir stresser_403_results -o stresser_403_results.json

Bypassa il codice di stato della risposta HTTP 401 Unauthorized:

forbidden -u https://example.com/admin -t auths -f GET -l initial -o forbidden_401_results.json

Test per redirect aperti e parser URL rotti, cioè test per interazioni out-of-band (OOB):

forbidden -u https://example.com/admin -t redirects,parsers -f GET -l initial -e xyz.interact.sh -o forbidden_oob_results.json

Test

protocols

• Testa i protocolli HTTP e HTTPS usando un indirizzo IP e un nome di dominio.
• Testa un downgrade del protocollo HTTP/1.0 senza l'intestazione di richiesta HTTP Host, usando un indirizzo IP e un nome di dominio.

methods

• Testa i metodi HTTP consentiti, usando anche l'intestazione di richiesta HTTP Content-Length: 0.
• Testa Cross-Site Tracing (XST) usando i metodi HTTP TRACE e TRACK.

uploads

• Testa il caricamento di un file di testo ricorsivamente per ogni directory nel percorso URL usando il metodo HTTP PUT.

overrides

• Testa le sostituzioni dei metodi HTTP usando parametri della stringa di query URL, intestazioni di richiesta HTTP e corpi di richiesta HTTP.
• Testa le sostituzioni dello schema URL usando intestazioni di richiesta HTTP, da HTTPS a HTTP e da HTTP a HTTPS.
• Testa le sostituzioni della porta usando intestazioni di richiesta HTTP.
• Testa le sostituzioni dell'host HTTP usando intestazioni di richiesta HTTP, anche usando due intestazioni di richiesta HTTP Host.
• Testa le sostituzioni del percorso URL usando intestazioni di richiesta HTTP con percorsi URL relativi, usando i seguenti URL: un URL accessibile, URL radice e URL completo.

headers

• Testa intestazioni di richiesta HTTP con indirizzi IP, indirizzi IP separati da virgole, nomi di dominio, URL radice, URL completi e altro ancora.

values

• Testa intestazioni di richiesta HTTP con indirizzi IP, nomi di dominio, URL radice e URL completi forniti dall'utente.

paths

• Testa i bypass del percorso URL.

encodings

• Testa le trasformazioni e le codifiche dell'host e del percorso URL.

auths

• Testa l'autenticazione/authorization di base usando intestazioni di richiesta HTTP con valori nulli e credenziali predefinite codificate in Base64.
• Testa l'autenticazione/authorization bearer usando intestazioni di richiesta HTTP con valori nulli, JWT malformati e JWT predefiniti.

redirects

• Testa redirect aperti usando intestazioni di richiesta HTTP con indirizzi IP di redirect, nomi di dominio, URL radice e URL completi.

parsers

• Testa parser URL rotti usando intestazioni di richiesta HTTP con indirizzi IP rotti, nomi di dominio, URL radice e URL completi.

---

Se sei interessato a maggiori dettagli, vedi:

• /src/forbidden/utils/forbidden.py
• /src/forbidden/utils/test.py
• /src/forbidden/utils/value.py

---

Osservazioni:

• Tutti i test si basano su write-up pubblici di infosec e bug bounty.
• Alcuni test si sovrappongono; tuttavia, viene applicato un filtro unico prima di inviare qualsiasi cosa.
• Tutte le intestazioni di richiesta HTTP, i parametri della stringa di query URL, ecc., sono stati validati in base alla documentazione ufficiale.
• Per impostazione predefinita, sia Forbidden che Stresser usano il motore Python Requests.
• Il test del downgrade del protocollo HTTP/1.0 senza l'intestazione di richiesta HTTP Host è bloccato sul motore HTTP Client. Inoltre, il comando cURL fornito non funzionerà correttamente perché cURL non consente di rimuovere l'intestazione di richiesta HTTP Host.
• Il test della sostituzione dell'host HTTP usando due intestazioni di richiesta HTTP Host è bloccato sul motore Python Requests. Inoltre, il comando cURL fornito non funzionerà correttamente perché cURL non consente di usare due intestazioni di richiesta HTTP Host.
• Il test delle trasformazioni e codifiche dell'host e del percorso URL è bloccato sul motore PycURL.
• Alcuni proxy web potrebbero normalizzare gli URL (ad esempio, durante il test di encodings), modificare le richieste HTTP o eliminare completamente le richieste HTTP.
• Alcuni siti web potrebbero richiedere un'intestazione di richiesta HTTP User-Agent valida o molto specifica.
• Cross-Site Tracing (XST) non è più considerato una vulnerabilità.
• Fai attenzione al rate limiting e ad altre protezioni anti-bot simili; attendi un po' prima di eseguire nuovamente lo strumento sullo stesso dominio.

Metodi HTTP

Questa è solo una rapida panoramica di ciò che viene utilizzato, ma non di come viene utilizzato.