WebSecProbe

WebSecProbeは、Webセキュリティ研究者、ペネトレーションテスター、システム管理者のために設計されたセキュリティテストユーティリティであり、WebアプリケーションにおけるHTTP 403（Forbidden）応答とアクセス制御の動作を分析します。

このツールは、リクエストのバリエーション、ヘッダー、エンドポイントを体系的にテストすることで、設定ミス、一貫性のない認可チェック、意図しないアクセスパスを特定するのに役立ちます。これらの手法により、手動テストでは見逃される可能性のある脆弱性を明らかにすることができます。

WebSecProbeは、許可されたセキュリティ評価と防御研究を目的としており、チームがアクセス制御の実装を検証し、Webアプリケーションの全体的なセキュリティ態勢を強化できるようにします。

[!IMPORTANT] このツールは、自分が所有しているか、明示的なテスト許可を得ているアプリケーションでのみ使用してください。

Google Colabで無料でオンライン実行

このツールは概念実証であり、教育目的のみで使用されます。

WebSecProbeは、ターゲットURLに対してさまざまなペイロードを含む一連のHTTPリクエストを実行し、潜在的なセキュリティ脆弱性や設定ミスをテストするように設計されています。以下に、コードの概要を示します。

• ユーザー入力としてターゲットURLとパスを受け取ります。
• URLエンコードされた文字、特別なヘッダー、異なるHTTPメソッドなど、さまざまなHTTPリクエストのバリエーションを表すペイロードのリストを定義します。
• 各ペイロードを反復処理し、ペイロードをターゲットURLに追加して完全なURLを構築します。
• 構築された各URLに対して、requestsライブラリを使用してHTTP GETリクエストを送信し、応答ステータスコードとコンテンツ長を取得します。
• 各リクエストに対して、構築されたURL、ステータスコード、コンテンツ長を出力し、ターゲットサーバーからの各バリエーションの応答結果を効果的に表示します。
• すべてのペイロードをテストした後、Wayback Machine（Webアーカイブ）にクエリを実行し、ターゲットURL/パスのアーカイブスナップショットが存在するか確認します。存在する場合、最も近いアーカイブスナップショットの情報を出力します。

このツールは403をバイパスしますか？

このコードの目的は、さまざまなペイロード、ヘッダー、URLバリエーションを含むリクエストが行われた際のサーバーの動作をテストすることです。コード内のペイロードやヘッダーの中には、特定のシナリオで潜在的なセキュリティ設定ミスや脆弱性をテストするために使用される可能性があるものもありますが、403 Forbiddenステータスコードを必ずバイパスできるとは限りません。

要約すると、このコードは異なるリクエストに対するWebサーバーの応答を調査・分析するためのツールであり、403 Forbiddenステータスコードをバイパスできるかどうかは、ターゲットサーバーの特定の設定とセキュリティ対策に依存します。

OS互換性 :

要件:

⭔ PYPIインストール : https://pypi.org/project/WebSecProbe/

pip install WebSecProbe

CLIでの実行方法:

WebSecProbe <URL> <Path>

例:

WebSecProbe https://example.com admin-login

Pythonコード

from WebSecProbe.main import WebSecProbe

if __name__ == "__main__":
    url = 'https://example.com'  # 対象のURLに置き換えてください
    path = 'admin-login'  # 希望するパスに置き換えてください

    probe = WebSecProbe(url, path)
    probe.run()

貢献:

コントリビューションと機能リクエストを歓迎します！問題が発生した場合や改善のアイデアがある場合は、Issueを開くかプルリクエストを送信してください。

😴🥱😪💤 ToDo:

• 401認証とヘッダーのバイパス

💬 問題がある場合はこちらでチャット

⭔ スクリーンショット:

このGitHubリポジトリが役立つと思われたら、スターを付けていただけると幸いです！ ⭐️