WebSecProbe 是一款安全测试工具，专为 Web 安全研究员、渗透测试人员和系统管理员设计，用于分析 HTTP 403（禁止）响应以及 Web 应用程序中的访问控制行为。

该工具有助于通过系统性地测试请求变体、标头和端点，来识别配置错误、不一致的授权检查以及意外的访问路径。这些技术有助于揭示那些在手动测试中可能被忽略的弱点。

WebSecProbe 适用于授权的安全评估和防御性研究，帮助团队验证访问控制实现，并增强其 Web 应用程序的整体安全态势。

[!IMPORTANT] 此工具仅可用于您拥有所有权或已获得明确测试许可的应用程序。

在 Google Colab 上免费在线运行

此工具是一个概念验证，仅用于教育目的。

WebSecProbe 旨在向目标 URL 发送一系列带有各种有效载荷的 HTTP 请求，以测试潜在的安全漏洞或配置错误。以下是代码功能的简要概述：

接收用户输入的目标 URL 和路径。
定义了一组有效载荷，代表不同的 HTTP 请求变体，例如 URL 编码字符、特殊标头和不同的 HTTP 方法。
遍历每个有效载荷，通过将有效载荷附加到目标 URL 来构造完整 URL。
对于每个构造的 URL，使用 requests 库发送 HTTP GET 请求，并捕获响应状态码和内容长度。
打印每个请求的构造 URL、状态码和内容长度，从而显示目标服务器对每种变体的响应结果。
测试完所有有效载荷后，查询 Wayback Machine（网络存档）以检查目标 URL/路径是否有存档快照。如果有，则打印最近的存档快照信息。

此工具是否能绕过 403？

该代码的目的更多是测试服务器在不同请求（包括带有各种有效载荷、标头和 URL 变体的请求）下的行为。尽管代码中的某些有效载荷和标头可能在某些场景下用于测试潜在的安全配置错误或弱点，但它不能保证能绕过 403 禁止状态码。

总之，该代码是一个用于探索和分析 Web 服务器对不同请求响应的工具，但能否绕过 403 禁止状态码取决于目标服务器的具体配置和所实施的安全措施。

点击展开：有效载荷详解

以下是有效载荷的简要说明：

空字符串：
- 将空字符串作为有效载荷。
URL 编码（%2e）：
- 对点号（.）进行 URL 编码，并与路径拼接。
带斜杠（/）的路径：
- 路径后跟斜杠（/）。
双斜杠（//）：
- 路径前后各加双斜杠。
带当前目录（./）的路径：
- 路径前后各加当前目录（./）。
请求标头（-H X-Original-URL）：
- 使用 X-Original-URL 标头携带路径。
请求标头（-H X-Custom-IP-Authorization）：
- 使用 X-Custom-IP-Authorization 标头携带 IP 地址 127.0.0.1。
请求标头（-H X-Forwarded-For）：
- 使用 X-Forwarded-For 标头携带 IP 地址 http://127.0.0.1 和 127.0.0.1:80。
请求标头（-H X-rewrite-url）：
- 使用 X-rewrite-url 标头携带路径。
URL 编码（%20 和 %09）：
- 使用空格（%20）和制表符（%09）的 URL 编码。
查询参数（?）：
- 使用问号（?）添加查询参数。
带 HTML 扩展名（.html）的路径：
- 路径后添加 .html 扩展名。
带查询字符串（/?anything）的路径：
- 路径后跟查询字符串。
片段标识符（#）：
- 使用井号（#）添加片段标识符。
POST 请求标头（-H Content-Length:0 -X POST）：
- 将 Content-Length 标头设置为 0，并发送 POST 请求。
通配符（*）：
- 路径后添加通配符。
带 PHP 扩展名（.php）的路径：
- 路径后添加 .php 扩展名。
带 JSON 扩展名（.json）的路径：
- 路径后添加 .json 扩展名。
HTTP 方法（-X TRACE）：
- 使用 TRACE HTTP 方法。
请求标头（-H X-Host）：

操作系统兼容性：

环境要求：

⭔ PYPI 安装：https://pypi.org/project/WebSecProbe/

pip install WebSecProbe

如何在命令行中运行：

WebSecProbe <URL> <Path>

示例：

WebSecProbe https://example.com admin-login

Python 代码

from WebSecProbe.main import WebSecProbe

if __name__ == "__main__":
    url = 'https://example.com'  # 替换为目标 URL
    path = 'admin-login'  # 替换为你想要的路径

    probe = WebSecProbe(url, path)
    probe.run()

贡献：

欢迎贡献和功能请求！如果遇到任何问题或有改进建议，请随时提交 issue 或 pull request。

😴🥱😪💤 待办事项：

绕过 401 及标头

WebSecProbe

最受欢迎

在 Google Colab 上免费在线运行

此工具是一个概念验证，仅用于教育目的。

操作系统兼容性：

环境要求：

⭔ PYPI 安装：https://pypi.org/project/WebSecProbe/

如何在命令行中运行：

Python 代码

贡献：

😴🥱😪💤 待办事项：

💬 如有问题，请 在此聊天

⭔ 截图：

如果你觉得这个 GitHub 仓库有用，请考虑给它点个 star！⭐️

💬 如有问题，请在此聊天