NoMore403

nomore403 é uma ferramenta de linha de comando para testar desvios de controle de acesso HTTP e inconsistências de análise sintática em torno das respostas 401, 403 e relacionadas.

A ferramenta foi projetada para trabalho prático em segurança web: bug bounty, testes de penetração, revisões de segurança e testes de regressão de regras de controle de acesso. Ela automatiza um conjunto amplo de mutações de requisição, captura uma linha de base, filtra falsos positivos comuns e destaca as respostas com maior probabilidade de representar um desvio significativo.

O que ela faz

Dada uma URL alvo, o nomore403:

1. Envia uma requisição de linha de base para capturar a resposta bloqueada.
2. Opcionalmente, autocalibra em relação a caminhos inexistentes para aprender o comportamento padrão de erro do alvo.
3. Executa um conjunto de técnicas de bypass que mutam o caminho, método, cabeçalhos ou formato de transmissão da requisição.
4. Pontua e agrupa os resultados para reduzir ruído.
5. Emite evidências reproduzíveis, incluindo comandos curl para descobertas interessantes.

Esta ferramenta não "quebra autenticação" por si só. Ela ajuda a encontrar diferenças entre como frontends, proxies, WAFs, CDNs, roteadores de aplicação e backends interpretam a mesma requisição.

Funcionalidades

• Comparação baseada na linha de base contra a resposta bloqueada
• Autocalibração para reduzir falsos positivos de respostas padrão 404 ou de caminho pai
• Saída pontuada com resumos separados para desvios prováveis e variações interessantes
• Reprodução e reprodutibilidade para descobertas de alto valor
• Retentativa e backoff para falhas de rede transitórias
• Execução concorrente com progresso por técnica
• Suporte a HTTP bruto para formas de requisição que o net/http normaliza
• Saída JSON e JSONL para pipelines e pós-processamento
• Entrada a partir de uma única URL, arquivos de URLs, stdin ou arquivos de requisição

Instalação

Compilar a partir do código-fonte

git clone https://github.com/devploit/nomore403
cd nomore403
go build

Instalar com Go

go install github.com/devploit/nomore403@latest

Se você instalar com go install, o diretório payloads/ não é instalado automaticamente. Clone o repositório e aponte a ferramenta para esse diretório com -f, se necessário.

Requisitos

• Go 1.24 ou superior para compilar a partir do código-fonte
• curl disponível no PATH para técnicas que dependem dele, como:
  • http-versions
  • http-parser
  • absolute-uri

A maioria das técnicas funciona sem curl.

Início Rápido

Escaneamento básico:

./nomore403 -u https://target.tld/admin

Usar um proxy e saída verbosa:

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

Executar apenas técnicas selecionadas:

./nomore403 -u https://target.tld/admin -k headers,absolute-uri,raw-desync

Ler alvos a partir do stdin:

cat urls.txt | ./nomore403

Usar um arquivo de requisição estilo Burp:

./nomore403 --request-file request.txt

Escrever saída legível por máquina:

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

Exemplo de Saída

target: https://target.tld/admin   method: GET   frontend: AWS ELB/ALB   payloads: payloads

calib: 404 | 1245b | ±50 | frag 703b

BASELINE
  default       403    520 bytes    https://target.tld/admin

FINDINGS
  hdr-ip     100! 200   2048 bytes   X-Original-URL: /
  abs-uri     26. 403    236 bytes   request-target: https://target.tld/admin
  http        18. 400    122 bytes   HTTP/2

no visible results: 17 techniques

━━━━━━━━━━━━━━ LIKELY BYPASS ━━━━━━━━━━━━━━━━━
[!100 HIGH] Header injection (IP) 403=>200    2048b
         why: status 403->200, len Δ1528, body changed, type changed
        item: X-Original-URL: /
        curl: curl -i -sS -k -H 'User-Agent: nomore403' -H 'X-Original-URL: /' 'https://target.tld/admin'

Como Ler a Saída

Saída principal das técnicas

Cada linha visível é uma resposta que diferiu o suficiente da linha de base para sobreviver à filtragem.

Campos típicos:

• alias da técnica, por exemplo hdr-ip, abs-uri ou parser
• marcador de pontuação compacto como 18., 61+ ou 100!
• status da resposta final
• tamanho da resposta
• item ou payload utilizado

Resumos de transições

Os resumos finais mostram as transições de linha de base para resultado:

• 403=>200 geralmente merece atenção imediata
• 403=>302 pode ser interessante, mas ainda pode redirecionar para dentro de uma barreira de autenticação
• 403->400 ou 403->404 geralmente indicam diferenças de análise sintática ou roteamento, em vez de um bypass

Resumos

Ao final da execução, o nomore403 imprime:

• LIKELY BYPASS (BYPASS PROVÁVEL)
  • resultados com maior pontuação
  • inclui curl reproduzível
• INTERESTING VARIATIONS (VARIAÇÕES INTERESSANTES)
  • diferenças significativas de análise sintática ou roteamento que merecem revisão manual
• no visible results (nenhum resultado visível)
  • contagem de técnicas que foram executadas mas não produziram saída visível após a filtragem

Modelo de Pontuação

A pontuação é heurística. Ela se destina a priorizar resultados, não a provar exploração.

A ferramenta geralmente recompensa:

• transições para 2xx
• transições para 3xx
• grandes alterações no tamanho do corpo
• alterações no hash do corpo
• alterações no cabeçalho Location
• redirecionamentos anômalos que não parecem levar a um fluxo de login ou negado
• diferenças que sobrevivem à reprodução

A ferramenta geralmente desvaloriza:

• respostas quase idênticas
• ruído repetido de análise sintática
• resultados de reprodução instáveis
• redirecionamentos com corpo vazio que parecem retornar ao controle de acesso
• muitos casos de 400 e 404, a menos que a resposta também mude substancialmente

Interpretação recomendada:

• HIGH: provavelmente acionável; revise primeiro
• MED: candidato plausível; geralmente vale a reprodução manual
• LOW: diferença de análise sintática, anomalia de roteamento ou comportamento de menor confiança

Autocalibração

A autocalibração está habilitada por padrão no modo não verboso.

Ela envia requisições para vários caminhos inexistentes e constrói uma linha de base para o comportamento padrão de erro do alvo. Também realiza uma requisição de calibração baseada em fragmento para reduzir falsos positivos causados por caminhos com fragmento removido.

Use estas flags para controlá-la:

• --no-calibrate
  • compara apenas com a resposta bloqueada padrão
• --strict-calibrate
  • também compara o hash do corpo e cabeçalhos chave como Location, Content-Type e Server

Técnicas

A ferramenta executa todas as técnicas por padrão, a menos que você especifique -k.

Mutações de método e verbo

• verbs
  • métodos HTTP alternativos de payloads/httpmethods
• verbs-case
  • capitalização aleatória de métodos HTTP
• method-override
  • padrões de substituição de método via query, cabeçalho e corpo

Mutações baseadas em cabeçalho e confiança

• headers
  • técnica guarda-chuva que cobre:
    • cabeçalhos de confiança de IP
    • cabeçalhos simples
    • variações de Host
• hop-by-hop
  • truques de remoção hop-by-hop usando Connection
• header-confusion
  • cabeçalhos de reescrita e substituição de caminho como X-Original-URL
• host-override
  • variações de host override e forwarded-host
• forwarded-trust
  • Forwarded, Client-IP, Cluster-Client-IP e cadeias de confiança relacionadas
• proto-confusion
  • X-Forwarded-Proto, e dicas de esquema relacionadas

Mutações de caminho e normalização

• endpaths
  • mutações de sufixo e final de caminho de payloads/endpaths
• midpaths
  • mutações de inserção de caminho e travessia de payloads/midpaths
• double-encoding
  • variantes de caminho codificado, incluindo formas agressivas de dupla codificação
• unicode
  • variantes de caminho %uXXXX e UTF-8 superlongo
• path-case
  • troca de capitalização de segmentos de caminho
• path-normalization
  • variantes de normalização de segmentos de ponto e ponto e vírgula
• suffix-tricks
  • truques de sufixo e extensão como .json, .css, e alternâncias de formato de query

Mutações de frontend e formato de transmissão

• http-versions
  • compara a mesma requisição entre HTTP/1.0 e HTTP/2
• http-parser
  • envia uma requisição curl deliberadamente mínima para expor diferenças de análise sintática entre cliente/frontend, separadamente do http-versions
• absolute-uri
  • usa alvos de requisição no formato absoluto através de curl --request-target
• raw-duplicates
  • duplica cabeçalhos relevantes à segurança com HTTP bruto
• raw-authority
  • sinais de autoridade e host duplicados ou conflitantes
• raw-desync
  • formas de requisição que visam diferenças de análise sintática entre frontend/backend, incluindo semânticas de transferência conflitantes

Comportamento HTTP Bruto

Algumas técnicas precisam de controle ao nível da transmissão que o cliente net/http do Go não oferece. Essas técnicas usam o motor HTTP bruto.

As técnicas brutas atualmente incluem:

• raw-duplicates
• raw-authority
• raw-desync
• algumas requisições de caminho unicode %uXXXX

Observações:

• as requisições brutas são enviadas automaticamente quando necessário
• as técnicas brutas atualmente não suportam proxies upstream
• o comportamento bruto é útil para:
  • cabeçalhos duplicados
  • alvos exatos de requisição
  • casos extremos de transfer-encoding e content-length

Impressão Digital e Ordem das Técnicas

A ferramenta pode inferir dicas de frontend como:

• AWS ELB / ALB
• CloudFront
• Cloudflare
• Nginx
• Envoy
• Apache
• IIS

Essas dicas são usadas para melhorar a ordenação das técnicas e o contexto da saída.

Importante:

• a impressão digital não desabilita técnicas por padrão
• a menos que você use -k, a ferramenta ainda executa o conjunto completo de técnicas padrão

Reprodutibilidade e Reprodução

Resultados de alto valor são reproduzidos automaticamente no resumo final.

A saída da reprodução ajuda a responder:

• o comportamento se repetiu?
• manteve o mesmo status e formato de resposta?
• isso é provavelmente estável o suficiente para investigar ou reportar?

O resumo final inclui:

• contagens de reprodução como 1/1 ou 2/2 matched on replay
• um comando curl reproduzível para resultados interessantes

Modos de Entrada

Alvo único

./nomore403 -u https://target.tld/admin

Arquivo contendo URLs

./nomore403 -u targets.txt

Stdin

cat targets.txt | ./nomore403

Arquivo de requisição

./nomore403 --request-file request.txt

Arquivos de requisição são úteis ao reproduzir tráfego capturado no Burp ou em outro proxy.

Posições Personalizadas de Payload

Use --payload-position quando quiser injetar payloads em marcadores explícitos em vez de depender apenas da lógica embutida de mutação de endpaths e midpaths.

Exemplo:

./nomore403 -u 'https://target.tld/§100§/admin/§200§' -p §

Fluxos de Trabalho Comuns

Triagem rápida

./nomore403 -u https://target.tld/admin

Investigar com um proxy interceptador

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

Executar apenas técnicas brutas e focadas em frontend

./nomore403 -u https://target.tld/admin -k absolute-uri,raw-duplicates,raw-authority,raw-desync

Testar um IP confiável personalizado

./nomore403 -u https://target.tld/admin -i 10.0.0.5

Salvar JSONL para análise posterior

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

Flags

Execute ./nomore403 --help para a CLI completa e atualizada.

Flags principais:

• -u, --uri
  • URL alvo, arquivo de URLs ou caminho de entrada
• -k, --technique
  • lista separada por vírgulas de técnicas a executar
• -x, --proxy
  • proxy upstream
• -H, --header
  • adicionar cabeçalhos personalizados
• -i, --bypass-ip
  • IP ou hostname usado nas técnicas de cabeçalho de confiança
• -v, --verbose
  • mostrar todos os resultados visíveis, não apenas a saída filtrada
• --json
  • escrever JSON estruturado
• --jsonl
  • escrever um objeto JSON por resultado
• --no-calibrate
  • desabilitar autocalibração
• --strict-calibrate
  • comparar mais campos de resposta durante a filtragem

Formatos de Saída

Saída de terminal legível por humanos

O modo padrão é otimizado para revisão interativa e triagem.

JSON

Use --json para um único documento estruturado.

JSON Lines

Use --jsonl quando quiser:

• processar resultados incrementalmente
• armazenar evidências em pipelines
• importar descobertas para suas próprias ferramentas

Arquivos de Payload

O diretório payloads/ contém listas usadas por várias técnicas.

Arquivos atuais incluem:

• httpmethods
• headers
• ips
• simpleheaders
• endpaths
• midpaths
• useragents

Você pode personalizar esses arquivos para adequá-los aos seus alvos ou fluxo de trabalho.

Limitações

• as técnicas de HTTP bruto atualmente não suportam proxies upstream
• a pontuação é heurística e pode produzir falsos positivos ou falsos negativos
• a pontuação de redirecionamentos atualmente usa heurísticas na resposta de redirecionamento imediata, não uma cadeia de redirecionamentos totalmente seguida
• algumas técnicas dependem de comportamento específico do alvo e podem parecer ruidosas em pilhas altamente normalizadas
• as técnicas baseadas em curl exigem curl no PATH

Segurança e Uso Responsável

Use esta ferramenta apenas em sistemas que você está autorizado a testar.

Os autores e colaboradores não são responsáveis pelo uso indevido. Você é responsável por cumprir as leis aplicáveis, regras do programa e políticas organizacionais.

Contribuindo

Contribuições são bem-vindas.

Áreas úteis para contribuição incluem:

• correções de bugs
• melhores payloads
• novas técnicas de bypass
• melhorias no HTTP bruto
• impressão digital de frontend
• documentação e exemplos

Antes de contribuir com uma técnica, prefira:

• um comportamento de análise sintática ou fronteira de confiança claramente distinto
• evidências reproduzíveis
• testes que verifiquem a forma da requisição ou o comportamento de reprodução

Licença

Este projeto é distribuído sob a Licença MIT. Veja LICENSE.