NoMore403

nomore403 — это инструмент командной строки для тестирования обхода контроля доступа HTTP и несоответствий парсеров вокруг ответов 401, 403 и связанных с ними.

Инструмент предназначен для практической работы в области веб-безопасности: bug bounty, пентестинг, проверки безопасности и регрессионное тестирование правил контроля доступа. Он автоматизирует широкий набор мутаций запросов, фиксирует базовый уровень, фильтрует распространённые ложные срабатывания и выделяет ответы, которые с наибольшей вероятностью представляют собой значимый обход.

Что он делает

Для заданного целевого URL nomore403:

1. Отправляет базовый запрос для захвата заблокированного ответа.
2. При необходимости автоматически калибруется по несуществующим путям, чтобы изучить поведение цели по умолчанию при ошибках.
3. Запускает набор техник обхода, которые изменяют путь запроса, метод, заголовки или формат передачи.
4. Оценивает и группирует результаты для снижения шума.
5. Выводит воспроизводимые доказательства, включая команды curl для интересных находок.

Этот инструмент сам по себе не «ломает аутентификацию». Он помогает найти различия в интерпретации одного и того же запроса между фронтендами, прокси, WAF, CDN, маршрутизаторами приложений и бэкендами.

Возможности

• Сравнение с базовым ответом на основе эталона
• Автоматическая калибровка для уменьшения ложных срабатываний от стандартных ответов 404 или ответов с родительским путём
• Оценка результатов с отдельными сводками для вероятных обходов и интересных вариаций
• Воспроизведение и повторяемость для ценных находок
• Повторные попытки и задержка при временных сетевых ошибках
• Одновременное выполнение с отображением прогресса по каждой технике
• Поддержка сырых HTTP-запросов для форм, которые net/http нормализует
• Вывод в JSON и JSONL для конвейеров и постобработки
• Ввод из одного URL, файла URL, stdin или файла запроса

Установка

Сборка из исходников

git clone https://github.com/devploit/nomore403
cd nomore403
go build

Установка через Go

go install github.com/devploit/nomore403@latest

При установке через go install каталог payloads/ не устанавливается автоматически. Клонируйте репозиторий и при необходимости укажите инструменту путь к этому каталогу с помощью -f.

Требования

• Go 1.24 или новее для сборки из исходников
• curl в PATH для техник, которые от него зависят, например:
  • http-versions
  • http-parser
  • absolute-uri

Большинство техник работают без curl.

Быстрый старт

Базовое сканирование:

./nomore403 -u https://target.tld/admin

Использование прокси и подробный вывод:

./nomore403 -u https://target.tld/admin -x http://127.0.0.1:8080 -v

Запуск только выбранных техник:

./nomore403 -u https://target.tld/admin -k headers,absolute-uri,raw-desync

Чтение целей из stdin:

cat urls.txt | ./nomore403

Использование файла запроса в стиле Burp:

./nomore403 --request-file request.txt

Запись машиночитаемого вывода:

./nomore403 -u https://target.tld/admin --jsonl -o findings.jsonl

Пример вывода

target: https://target.tld/admin   method: GET   frontend: AWS ELB/ALB   payloads: payloads

calib: 404 | 1245b | ±50 | frag 703b

BASELINE
  default       403    520 bytes    https://target.tld/admin

FINDINGS
  hdr-ip     100! 200   2048 bytes   X-Original-URL: /
  abs-uri     26. 403    236 bytes   request-target: https://target.tld/admin
  http        18. 400    122 bytes   HTTP/2

no visible results: 17 techniques

━━━━━━━━━━━━━━ LIKELY BYPASS ━━━━━━━━━━━━━━━━━
[!100 HIGH] Header injection (IP) 403=>200    2048b
         why: status 403->200, len Δ1528, body changed, type changed
        item: X-Original-URL: /
        curl: curl -i -sS -k -H 'User-Agent: nomore403' -H 'X-Original-URL: /' 'https://target.tld/admin'

Как читать вывод

Основной вывод техник

Каждая видимая строка — это ответ, который достаточно отличается от базового, чтобы пройти фильтрацию.

Типичные поля:

• псевдоним техники, например hdr-ip, abs-uri или parser
• компактная оценка, например 18., 61+ или 100!
• итоговый статус ответа
• размер ответа
• использованный элемент или полезная нагрузка

Сводные переходы

Итоговые сводки показывают переходы от базового к результату:

• 403=>200 обычно заслуживает немедленного внимания
• 403=>302 может быть интересно, но может снова привести к барьеру аутентификации
• 403->400 или 403->404 обычно указывают на различия в парсере или маршрутизации, а не на обход

Сводки

В конце выполнения nomore403 выводит:

• LIKELY BYPASS
  • результаты с наивысшими оценками
  • включает воспроизводимый curl
• INTERESTING VARIATIONS
  • значимые различия в парсере или маршрутизации, заслуживающие ручной проверки
• no visible results
  • количество техник, которые были запущены, но после фильтрации не дали видимого вывода

Модель оценки

Оценка эвристическая. Она предназначена для приоритизации результатов, а не для доказательства эксплуатации.

Инструмент обычно поощряет:

• переходы к 2xx
• переходы к 3xx
• большие изменения длины тела
• изменения хэша тела
• изменения Location
• необычные перенаправления, которые, по-видимому, не ведут к странице входа или отказа
• различия, которые сохраняются при повторном воспроизведении

Инструмент обычно понижает оценку:

• почти идентичных ответов
• повторяющегося шума парсера
• нестабильных результатов повторного воспроизведения
• перенаправлений с пустым телом, которые, по-видимому, возвращают контроль доступа
• многих случаев 400 и 404, если только ответ также существенно не изменился

Рекомендуемая интерпретация:

• HIGH: вероятно, требует действий; проверять в первую очередь
• MED: plausible candidate; usually worth manual replay
• LOW: различие в парсере, аномалия маршрутизации или поведение с низкой уверенностью

Автоматическая калибровка

Автоматическая калибровка включена по умолчанию в не-подробном режиме.

Она отправляет запросы к нескольким несуществующим путям и строит базовый уровень для поведения цели по умолчанию при ошибках. Также выполняется калибровочный запрос на основе фрагмента для уменьшения ложных срабатываний, вызванных путями с удалёнными фрагментами.

Используйте эти флаги для управления:

• --no-calibrate
  • сравнивать только с заблокированным ответом по умолчанию
• --strict-calibrate
  • также сравнивать хэш тела и ключевые заголовки, такие как Location, Content-Type и Server

Техники

Инструмент запускает все техники по умолчанию, если не указан -k.

Мутации метода и глагола

• verbs
  • альтернативные HTTP-методы из payloads/httpmethods
• verbs-case
  • случайный регистр HTTP-методов
• method-override
  • шаблоны переопределения метода через запрос, заголовок и тело

Мутации на основе заголовков и доверия