NoMore403

nomore403 は、HTTP アクセス制御のバイパスや、401、403 および関連するレスポンスにおけるパーサーの不整合をテストするためのコマンドラインツールです。

このツールは、実践的な Web セキュリティ業務（バグバウンティ、侵入テスト、セキュリティレビュー、アクセス制御ルールの回帰テスト）を目的として設計されています。幅広いリクエストの変異を自動化し、ベースラインを取得し、一般的な誤検出をフィルタリングし、意味のあるバイパスである可能性が最も高いレスポンスを強調表示します。

機能

• ブロックされたレスポンスに対するベースライン駆動型の比較
• デフォルトの 404 や親パスからのレスポンスによる誤検出を減らすための自動キャリブレーション
• 可能性のあるバイパスと興味深いバリエーションを個別の要約でスコアリングした出力
• 価値の高い発見項目の再生と再現性
• 一時的なネットワーク障害に対するリトライとバックオフ
• テクニックごとの進捗表示を伴う並列実行
• net/http で正規化されるリクエスト形式に対する raw HTTP サポート
• パイプラインや後処理のための JSON および JSONL 出力
• 単一 URL、URL ファイル、標準入力、リクエストファイルからの入力

インストール

ソースからビルド

git clone https://github.com/devploit/nomore403
cd nomore403
go build

Go でインストール

go install github.com/devploit/nomore403@latest

go install でインストールした場合、payloads/ ディレクトリは自動的にインストールされません。リポジトリをクローンし、必要に応じて -f オプションでツールにそのディレクトリを指定してください。

必要条件

• ソースからビルドするには Go 1.24 以降
• 一部のテクニック（http-versions、http-parser、absolute-uri など）では curl が PATH に存在する必要があります

ほとんどのテクニックは curl なしで動作します。

クイックスタート

基本的なスキャン:

./nomore403 -u https://target.tld/admin

プロキシを使用し、詳細出力:

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

特定のテクニックのみ実行:

./nomore403 -u https://target.tld/admin -k headers,absolute-uri,raw-desync

標準入力からターゲットを読み込む:

cat urls.txt | ./nomore403

Burp 形式のリクエストファイルを使用:

./nomore403 --request-file request.txt

機械可読な出力を書き込む:

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

出力例

target: https://target.tld/admin   method: GET   frontend: AWS ELB/ALB   payloads: payloads

calib: 404 | 1245b | ±50 | frag 703b

BASELINE
  default       403    520 bytes    https://target.tld/admin

FINDINGS
  hdr-ip     100! 200   2048 bytes   X-Original-URL: /
  abs-uri     26. 403    236 bytes   request-target: https://target.tld/admin
  http        18. 400    122 bytes   HTTP/2

no visible results: 17 techniques

━━━━━━━━━━━━━━ LIKELY BYPASS ━━━━━━━━━━━━━━━━━
[!100 HIGH] Header injection (IP) 403=>200    2048b
         why: status 403->200, len Δ1528, body changed, type changed
        item: X-Original-URL: /
        curl: curl -i -sS -k -H 'User-Agent: nomore403' -H 'X-Original-URL: /' 'https://target.tld/admin'

出力の読み方

テクニック出力のメイン行

フィルタリングを通過した、ベースラインと十分に異なる各レスポンスが 1 行で表示されます。

典型的なフィールド:

• テクニックのエイリアス（例: hdr-ip、abs-uri、parser）
• コンパクトなスコアマーカー（例: 18.、61+、100!）
• 最終レスポンスステータス
• レスポンスサイズ
• 使用されたアイテムまたはペイロード

要約の遷移

最終要約では、ベースラインから結果への遷移が表示されます:

• 403=>200 は通常すぐに注目すべき
• 403=>302 は興味深い場合があるが、認証障壁に戻る可能性もある
• 403->400 や 403->404 は、バイパスではなくパーサーやルーティングの差異を示すことが多い

要約

実行の最後に、nomore403 は以下を表示します:

• LIKELY BYPASS
  • 最もスコアの高い結果
  • 再現可能な curl コマンドを含む
• INTERESTING VARIATIONS
  • 手動レビューに値する、意味のあるパーサーやルーティングの差異
• no visible results
  • 実行されたがフィルタリング後に表示可能な出力を生成しなかったテクニックの数

スコアリングモデル

スコアリングはヒューリスティックです。結果に優先順位を付けるためのものであり、悪用を証明するものではありません。

このツールは一般的に以下を高く評価します:

• 2xx への遷移
• 3xx への遷移
• 大きなボディサイズの変化
• ボディハッシュの変化
• Location の変化
• ログインや拒否フローに解決しないと思われる異常なリダイレクト
• 再生後も持続する差異

このツールは一般的に以下を低く評価します:

• ほとんど同一のレスポンス
• 繰り返し発生するパーサーノイズ
• 不安定な再生結果
• アクセス制御に戻ると思われる空ボディのリダイレクト
• 多くの 400 および 404 のケース（レスポンスが大幅に変化しない場合）

推奨される解釈:

• HIGH: 行動可能な可能性が高い; 最初に確認
• MED: 妥当な候補; 通常は手動再生に値する
• LOW: パーサーの差異、ルーティングの異常、または信頼性の低い動作

自動キャリブレーション

自動キャリブレーションは、非詳細モードではデフォルトで有効です。

存在しないパスに複数のリクエストを送信し、ターゲットのデフォルトエラー動作のベースラインを構築します。また、フラグメントベースのキャリブレーションリクエストを実行し、フラグメントが除去されたパスによる誤検出を減らします。

これらのフラグを使用して制御します:

• --no-calibrate
  • デフォルトのブロックされたレスポンスとのみ比較
• --strict-calibrate
  • ボディハッシュや Location、Content-Type、Server などの主要ヘッダーも比較

テクニック

デフォルトでは、-k で指定しない限り、すべてのテクニックが実行されます。

メソッドと動詞の変異

• verbs
  • payloads/httpmethods からの代替 HTTP メソッド
• verbs-case
  • HTTP メソッドのランダムな大文字小文字
• method-override
  • クエリ、ヘッダー、ボディベースのメソッドオーバーライドパターン

ヘッダーと信頼ベースの変異

• headers
  • 以下の包括的なテクニック:
    • IP 信頼ヘッダー
    • 単純なヘッダー
    • Host のバリエーション
• hop-by-hop
  • Connection を使用したホップバイホップ除去テクニック
• header-confusion
  • X-Original-URL などの書き換え・パスオーバーライドヘッダー
• host-override
  • ホストオーバーライドおよび転送ホストのバリアント
• forwarded-trust
  • Forwarded、Client-IP、Cluster-Client-IP および関連する信頼チェーン
• proto-confusion
  • X-Forwarded-Proto、X-Forwarded-Port および関連するスキームヒント

パスと正規化の変異

• endpaths
  • payloads/endpaths からのサフィックスおよびパス末尾の変異
• midpaths
  • payloads/midpaths からのパス挿入およびトラバーサル形式の変異
• double-encoding
  • エンコードされたパスのバリアント（積極的な二重エンコード形式を含む）
• unicode
  • %uXXXX および過長 UTF-8 パスのバリアント
• path-case
  • パスセグメントの大文字小文字変換
• path-normalization
  • ドットセグメントおよびセミコロン正規化のバリアント
• suffix-tricks
  • .json、.css、;index.html などのサフィックスおよび拡張子テクニック、および形式スタイルのクエリトグル

フロントエンドとワイヤーフォーマットの変異

• http-versions
  • 同じリクエストを HTTP/1.0 と HTTP/2 で比較
• http-parser
  • 意図的に最小限の curl リクエストを送信し、http-versions とは別にクライアント/フロントエンドのパーサー差異を明らかにする
• absolute-uri
  • curl --request-target を使用した絶対形式のリクエストターゲット
• raw-duplicates
  • raw HTTP でセキュリティ関連ヘッダーを重複させる
• raw-authority
  • authority と host の重複または競合するシグナル
• raw-desync
  • フロントエンド/バックエンドのパーシング差異を狙ったリクエスト形式（競合する転送セマンティクスを含む）

Raw HTTP の動作

一部のテクニックは、Go の net/http クライアントでは提供されないワイヤーレベルの制御を必要とします。そのようなテクニックは raw HTTP エンジンを使用します。

現在 raw テクニックに含まれるもの:

• raw-duplicates
• raw-authority
• raw-desync
• 一部の %uXXXX Unicode パスリクエスト

注意:

• raw リクエストは必要に応じて自動的に送信されます
• raw テクニックは現在アップストリームプロキシをサポートしていません
• raw 動作は以下の場合に役立ちます:
  • ヘッダーの重複
  • 正確なリクエストターゲット
  • Transfer-Encoding および Content-Length のエッジケース

フィンガープリンティングとテクニックの順序

このツールは、以下のようなフロントエンドのヒントを推測することがあります:

• AWS ELB / ALB
• CloudFront
• Cloudflare
• Nginx
• Envoy
• Apache
• IIS

これらのヒントは、テクニックの順序と出力コンテキストを改善するために使用されます。

重要:

• フィンガープリンティングはデフォルトでテクニックを無効にしません
• -k を使用しない限り、ツールは引き続き完全なデフォルトテクニックセットを実行します

再現性と再生

価値の高い結果は、最終要約で自動的に再生されます。

再生出力は以下の質問に答えるのに役立ちます:

• 動作は繰り返されたか？
• 同じステータスとレスポンス形状を維持したか？
• これは調査または報告するのに十分安定しているか？

最終要約には以下が含まれます:

• 再生カウント（例: 1/1 または 2/2 matched on replay）
• 興味深い結果に対する再生可能な curl コマンド

入力モード

単一ターゲット

./nomore403 -u https://target.tld/admin

URL を含むファイル

./nomore403 -u targets.txt

標準入力

cat targets.txt | ./nomore403

リクエストファイル

./nomore403 --request-file request.txt

リクエストファイルは、Burp や他のプロキシでキャプチャしたトラフィックを再生する場合に便利です。

カスタムペイロード位置

組み込みのエンドパスやミッドパスの変異ロジックに依存する代わりに、明示的なマーカーでペイロードを注入したい場合は --payload-position を使用します。

例:

./nomore403 -u 'https://target.tld/§100§/admin/§200§' -p §

よくあるワークフロー

迅速なトリアージ

./nomore403 -u https://target.tld/admin

インターセプトプロキシで調査

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

raw およびフロントエンドに焦点を当てたテクニックのみ実行

./nomore403 -u https://target.tld/admin -k absolute-uri,raw-duplicates,raw-authority,raw-desync

カスタム信頼 IP をテスト

./nomore403 -u https://target.tld/admin -i 10.0.0.5

後で分析するために JSONL を保存

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

フラグ

最新の CLI については ./nomore403 --help を実行してください。

主要なフラグ:

• -u, --uri
  • ターゲット URL、URL のファイル、または入力パス
• -k, --technique
  • 実行するテクニックのカンマ区切りリスト
• -x, --proxy
  • アップストリームプロキシ
• -H, --header
  • カスタムヘッダーを追加
• -i, --bypass-ip
  • 信頼ヘッダーテクニックで使用する IP またはホスト名
• -v, --verbose
  • フィルタリング後の出力だけでなく、すべての表示可能な結果を表示
• --json
  • 構造化された JSON を書き込む
• --jsonl
  • 結果ごとに 1 つの JSON オブジェクトを書き込む
• --no-calibrate
  • 自動キャリブレーションを無効にする
• --strict-calibrate
  • フィルタリング中により多くのレスポンスフィールドを比較する
• --retry-count

出力形式

人間が読めるターミナル出力

デフォルトモードはインタラクティブなレビューとトリアージに最適化されています。

JSON

--json を使用すると、単一の構造化されたドキュメントが出力されます。

JSON Lines

--jsonl は以下の場合に使用します:

• 結果をインクリメンタルに処理したい
• パイプラインで証拠を保存したい
• 独自のツールに結果を取り込みたい

ペイロードファイル

payloads/ ディレクトリには、いくつかのテクニックで使用されるリストが含まれています。

現在のファイル:

• httpmethods
• headers
• ips
• simpleheaders
• endpaths
• midpaths
• useragents

これらのファイルはターゲットやワークフローに合わせてカスタマイズできます。

制限事項

• raw HTTP テクニックは現在アップストリームプロキシをサポートしていません
• スコアリングはヒューリスティックであり、誤検出や見逃しが発生する可能性があります
• リダイレクトのスコアリングは現在、完全に追跡されたリダイレクトチェーンではなく、即時のリダイレクトレスポンスに対するヒューリスティックを使用します
• 一部のテクニックはターゲット固有の動作に依存しており、高度に正規化されたスタックではノイズが多いように見える場合があります
• curl ベースのテクニックでは curl が PATH に存在する必要があります

セキュリティと責任ある使用

このツールは、テストする権限のあるシステムでのみ使用してください。

作者および貢献者は誤用に対する責任を負いません。該当する法律、プログラムルール、および組織のポリシーを遵守する責任はあなたにあります。

コントリビューション

コントリビューションを歓迎します。

役立つコントリビューションの領域:

• バグ修正
• より良いペイロード
• 新しいバイパステクニック
• raw HTTP の改善
• フロントエンドフィンガープリンティング
• ドキュメントと例

テクニックをコントリビュートする前に、以下を優先してください:

• 明確に区別可能なパーシングまたは信頼境界の動作
• 再現可能な証拠
• リクエスト形状または再生動作を検証するテスト

ライセンス

このプロジェクトは MIT ライセンスの下で公開されています。詳細は LICENSE を参照してください。