NoMore403

nomore403 é uma ferramenta de linha de comando para testar desvios de controle de acesso HTTP e inconsistências de análise sintática em torno das respostas 401, 403 e relacionadas.

A ferramenta foi projetada para trabalho prático em segurança web: bug bounty, testes de penetração, revisões de segurança e testes de regressão de regras de controle de acesso. Ela automatiza um conjunto amplo de mutações de requisição, captura uma linha de base, filtra falsos positivos comuns e destaca as respostas com maior probabilidade de representar um desvio significativo.

O que ela faz

Dada uma URL alvo, o nomore403:

1. Envia uma requisição de linha de base para capturar a resposta bloqueada.
2. Opcionalmente, autocalibra em relação a caminhos inexistentes para aprender o comportamento padrão de erro do alvo.
3. Executa um conjunto de técnicas de bypass que mutam o caminho, método, cabeçalhos ou formato de transmissão da requisição.
4. Pontua e agrupa os resultados para reduzir ruído.
5. Emite evidências reproduzíveis, incluindo comandos curl para descobertas interessantes.

Esta ferramenta não "quebra autenticação" por si só. Ela ajuda a encontrar diferenças entre como frontends, proxies, WAFs, CDNs, roteadores de aplicação e backends interpretam a mesma requisição.

Funcionalidades

• Comparação baseada na linha de base contra a resposta bloqueada
• Autocalibração para reduzir falsos positivos de respostas padrão 404 ou de caminho pai
• Saída pontuada com resumos separados para desvios prováveis e variações interessantes
• Reprodução e reprodutibilidade para descobertas de alto valor
• Retentativa e backoff para falhas de rede transitórias
• Execução concorrente com progresso por técnica
• Suporte a HTTP bruto para formas de requisição que o net/http normaliza
• Saída JSON e JSONL para pipelines e pós-processamento
• Entrada a partir de uma única URL, arquivos de URLs, stdin ou arquivos de requisição

Instalação

Compilar a partir do código-fonte

git clone https://github.com/devploit/nomore403
cd nomore403
go build

Instalar com Go

go install github.com/devploit/nomore403@latest

Se você instalar com go install, o diretório payloads/ não é instalado automaticamente. Clone o repositório e aponte a ferramenta para esse diretório com -f, se necessário.

Requisitos

• Go 1.24 ou superior para compilar a partir do código-fonte
• curl disponível no PATH para técnicas que dependem dele, como:
  • http-versions
  • http-parser
  • absolute-uri

A maioria das técnicas funciona sem curl.

Início Rápido

Escaneamento básico:

./nomore403 -u https://target.tld/admin

Usar um proxy e saída verbosa:

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

Executar apenas técnicas selecionadas:

./nomore403 -u https://target.tld/admin -k headers,absolute-uri,raw-desync

Ler alvos a partir do stdin:

cat urls.txt | ./nomore403

Usar um arquivo de requisição estilo Burp:

./nomore403 --request-file request.txt

Escrever saída legível por máquina:

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

Exemplo de Saída

target: https://target.tld/admin   method: GET   frontend: AWS ELB/ALB   payloads: payloads

calib: 404 | 1245b | ±50 | frag 703b

BASELINE
  default       403    520 bytes    https://target.tld/admin

FINDINGS
  hdr-ip     100! 200   2048 bytes   X-Original-URL: /
  abs-uri     26. 403    236 bytes   request-target: https://target.tld/admin
  http        18. 400    122 bytes   HTTP/2

no visible results: 17 techniques

━━━━━━━━━━━━━━ LIKELY BYPASS ━━━━━━━━━━━━━━━━━
[!100 HIGH] Header injection (IP) 403=>200    2048b
         why: status 403->200, len Δ1528, body changed, type changed
        item: X-Original-URL: /
        curl: curl -i -sS -k -H 'User-Agent: nomore403' -H 'X-Original-URL: /' 'https://target.tld/admin'

Como Ler a Saída

Saída principal das técnicas

Cada linha visível é uma resposta que diferiu o suficiente da linha de base para sobreviver à filtragem.

Campos típicos:

• alias da técnica, por exemplo hdr-ip, abs-uri ou parser
• marcador de pontuação compacto como 18., 61+ ou 100!
• status da resposta final
• tamanho da resposta
• item ou payload utilizado

Resumos de transições

Os resumos finais mostram as transições de linha de base para resultado:

• 403=>200 geralmente merece atenção imediata
• 403=>302 pode ser interessante, mas ainda pode redirecionar para dentro de uma barreira de autenticação
• 403->400 ou 403->404 geralmente indicam diferenças de análise sintática ou roteamento, em vez de um bypass

Resumos

Ao final da execução, o nomore403 imprime:

• LIKELY BYPASS (BYPASS PROVÁVEL)
  • resultados com maior pontuação
  • inclui curl reproduzível
• INTERESTING VARIATIONS (VARIAÇÕES INTERESSANTES)
  • diferenças significativas de análise sintática ou roteamento que merecem revisão manual
• no visible results (nenhum resultado visível)
  • contagem de técnicas que foram executadas mas não produziram saída visível após a filtragem

Modelo de Pontuação

A pontuação é heurística. Ela se destina a priorizar resultados, não a provar exploração.

A ferramenta geralmente recompensa:

• transições para 2xx
• transições para 3xx
• grandes alterações no tamanho do corpo
• alterações no hash do corpo
• alterações no cabeçalho Location
• redirecionamentos anômalos que não parecem levar a um fluxo de login ou negado
• diferenças que sobrevivem à reprodução

A ferramenta geralmente desvaloriza:

• respostas quase idênticas
• ruído repetido de análise sintática
• resultados de reprodução instáveis
• redirecionamentos com corpo vazio que parecem retornar ao controle de acesso
• muitos casos de 400 e 404, a menos que a resposta também mude substancialmente

Interpretação recomendada:

• HIGH: provavelmente acionável; revise primeiro
• MED: candidato plausível; geralmente vale a reprodução manual
• LOW: diferença de análise sintática, anomalia de roteamento ou comportamento de menor confiança

Autocalibração

A autocalibração está habilitada por padrão no modo não verboso.

Ela envia requisições para vários caminhos inexistentes e constrói uma linha de base para o comportamento padrão de erro do alvo. Também realiza uma requisição de calibração baseada em fragmento para reduzir falsos positivos causados por caminhos com fragmento removido.

Use estas flags para controlá-la:

• --no-calibrate
  • compara apenas com a resposta bloqueada padrão
• --strict-calibrate
  • também compara o hash do corpo e cabeçalhos chave como Location, Content-Type e Server

Técnicas

A ferramenta executa todas as técnicas por padrão, a menos que você especifique -k.

Mutações de método e verbo