Forbidden-Buster

Forbidden Buster é uma ferramenta desenvolvida para automatizar várias técnicas a fim de contornar os códigos de resposta HTTP 401 e 403 e obter acesso a áreas não autorizadas no sistema. Este código é feito apenas para entusiastas e profissionais de segurança. Use por sua conta e risco.

Recursos

• Testa códigos de resposta HTTP 401 e 403 para descobrir possíveis técnicas de bypass.
• Utiliza diversos métodos e cabeçalhos para testar e contornar os controles de acesso.
• Personalizável através de argumentos de linha de comando.

🚀 Atualizações

• Adicionados métodos de fuzzing de API, que testam diferentes versões de API e também adulteram os dados.
• Removida a funcionalidade de limitação de taxa por enquanto. Melhor implementação no futuro.

Instalação & Uso

Instalar requisitos

pip3 install -r requirements.txt

Executar o script

python3 forbidden_buster.py -u http://example.com

Usando Docker

Também é possível usar Docker para executar o Forbidden-Buster. Esta abordagem garante um ambiente consistente sem a necessidade de instalar Python na máquina host.

Construindo a Imagem Docker

Primeiro, construa a imagem Docker:

docker build -t forbidden-buster-image .

Executando o Contêiner Docker

Em seguida, execute o contêiner Docker. Passe o script forbidden_buster.py para o contêiner.

docker run --rm -it -v /caminho/para/forbidden_buster.py:/app/forbidden_buster.py forbidden-buster-image /bin/bash

[!NOTE]
Certifique-se de substituir /caminho/para/forbidden_buster.py pelo caminho real do seu arquivo forbidden_buster.py. Este comando monta seu arquivo local no diretório /app dentro do contêiner, permitindo executar o script forbidden_buster.py diretamente.

Dentro do contêiner, navegue até o diretório /app e execute o script normalmente.

Argumentos

Forbidden Buster aceita os seguintes argumentos:

  -h, --help            show this help message and exit
  -u URL, --url URL     Full path to be used
  -f FILE, --file FILE  Include a file with multiple URLs to be tested.
  -o OUTPUT, --output OUTPUT
                        Print the results to an output file, Usage i.e: output.txt.
  -m METHOD, --method METHOD
                        Method to be used. Default is GET.
  -H HEADER, --header HEADER
                        Add a custom header.
  -d DATA, --data DATA  Add data to requset body. JSON is supported with escaping.
  -p PROXY, --proxy PROXY
                        Use Proxy, Usage i.e: 127.0.0.1:8080.
  --include-unicode     Include Unicode fuzzing (stressful).
  --include-user-agent  Include User-Agent fuzzing (stressful).
  --include-api         Include API fuzzing.

Exemplo de Uso:

python3 forbidden_buster.py --url "https://example.com/api/v1/secret" --method POST --header "Authorization: Bearer XXX" --data '{\"key\":\"value\"}' --proxy "http://proxy.example.com" --include-api --include-unicode

Créditos

• Hacktricks - Agradecimento especial por fornecer técnicas e insights valiosos utilizados nesta ferramenta.
• SecLists - Crédito a danielmiessler's SecLists por fornecer as wordlists.
• kaimi - Crédito a kaimi pela wordlist "Possible IP Bypass HTTP Headers".