渗透测试中403/401页面绕过的思路总结

渗透测试中403/401页面绕过的思路总结
2022-8-19 12:34:2 Author: 白帽子左一(查看原文) 阅读量:64 收藏

扫码领资料

获黑客教程

免费&进群

做渗透时经常会碰到扫到的资产403的情况，特别是资产微乎其微的情况下，面试有时也会问到，这里做个总结！

利用姿势

1.端口利用

故事扫描主机端口，找其它开放web服务的端口，访问其端口，挑软柿子。

2.修改HOST

Host在请求头中的作用：在一般情况下，几个网站可能会部署在同一个服务器上，或者几个 web 系统共享一个服务器，通过host头来指定应该由哪个网站或者web系统来处理用户的请求。

而很多WEB应用通过获取HTTP HOST头来获得当前请求访问的位置，但是很多开发人员并未意识到HTTP HOST头由用户控制，从安全角度来讲，任何用户输入都是认为不安全的。

修改客户端请求头中的 Host 可以通过修改 Host 值修改为子域名或者ip来绕过来进行绕过二级域名；

首先对该目标域名进行子域名收集，整理好子域名资产（host字段同样支持IP地址）。

先Fuzz测试跑一遍收集到的子域名，这里使用的是Burp的Intruder功能。若看到一个服务端返回200的状态码，即表面成功找到一个在HOST白名单中的子域名。我们利用firefox插件来修改HOST值，成功绕过访问限制。

3.覆盖请求 URL

尝试使用 X-Original-URL 和 X-Rewrite-URL 标头绕过 Web 服务器的限制。

通过支持 X-Original-URL 和 X-Rewrite-URL 标头，用户可以使用 X-Original-URL 或 X-Rewrite-URL HTTP 请求标头覆盖请求 URL 中的路径，尝试绕过对更高级别的缓存和 Web 服务器的限制

RequestGET /auth/login HTTP/1.1ResponseHTTP/1.1 403 Forbidden
ReqeustGET / HTTP/1.1X-Original-URL: /auth/loginResponseHTTP/1.1 200 OK
or：
ReqeustGET / HTTP/1.1X-Rewrite-URL: /auth/loginResponseHTTP/1.1 200 OK

4.Referer 标头绕过

尝试使用 Referer 标头绕过 Web 服务器的限制。

介绍：Referer 请求头包含了当前请求页面的来源页面的地址，即表示当前页面是通过此来源页面里的链接进入的。服务端一般使用 Referer 请求头识别访问来源。

RequestGET /auth/login HTTP/1.1Host: xxxResponseHTTP/1.1 403 Forbidden
ReqeustGET / HTTP/1.1Host: xxxReFerer:https://xxx/auth/loginResponseHTTP/1.1 200 OK
or
ReqeustGET /auth/login HTTP/1.1Host: xxxReFerer:https://xxx/auth/loginResponseHTTP/1.1 200 OK

5.代理 IP

一般开发者会通过 Nginx 代理识别访问端 IP 限制对接口的访问，尝试使用 X-Forwarded-For、X-Forwared-Host 等标头绕过 Web 服务器的限制。

X-Originating-IP: 127.0.0.1X-Remote-IP: 127.0.0.1X-Client-IP: 127.0.0.1X-Forwarded-For: 127.0.0.1X-Forwared-Host: 127.0.0.1X-Host: 127.0.0.1X-Custom-IP-Authorization: 127.0.0.1
如：
RequestGET /auth/login HTTP/1.1ResponseHTTP/1.1 401 Unauthorized
ReqeustGET /auth/login HTTP/1.1X-Custom-IP-Authorization: 127.0.0.1ResponseHTTP/1.1 200 OK

6.扩展名绕过

基于扩展名，用于绕过 403 受限制的目录。

site.com/admin => 403site.com/admin/ => 200site.com/admin// => 200site.com//admin// => 200site.com/admin/* => 200site.com/admin/*/ => 200site.com/admin/. => 200site.com/admin/./ => 200site.com/./admin/./ => 200site.com/admin/./. => 200site.com/admin/./. => 200site.com/admin? => 200site.com/admin?? => 200site.com/admin??? => 200site.com/admin..;/ => 200site.com/admin/..;/ => 200site.com/%2f/admin => 200site.com/%2e/admin => 200site.com/admin%20/ => 200site.com/admin%09/ => 200site.com/%20admin%20/ => 200

7.扫描的时候

遇到 403 了，上目录扫描工具，扫目录，扫文件（记住，扫描的时候要打开探测403，因为有些网站的目录没有权限访问会显示403，但是在这个目录下面的文件，我们或许能扫描到并访问）

8.最后补充再一些401和403 bypass的tips（由HACK学习整理补充）

Github上一些bypass 403的脚本

https://github.com/sting8k/BurpSuite_403Bypasserhttps://github.com/yunemse48/403bypasserhttps://github.com/devploit/dontgo403https://github.com/daffainfo/bypass-403

以及403bypass的wiki

https://kathan19.gitbook.io/howtohunt/status-code-bypass/403bypass

作者：剑胆琴心作者博客：http://xpshuai.cn/

声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。所有渗透都需获取授权！

学习更多渗透技能！体验靶场实战练习


（hack视频资料及工具）

（部分展示）

往期推荐

给第一次做渗透项目的新手总结的一些感悟

「登陆页面」常见的几种渗透思路与总结！

突破口！入职安服后的经验之谈

红队渗透下的入口权限快速获取

攻防演练｜红队手段之将蓝队逼到关站！

CNVD 之5000w通用产品的收集(fofa)

自动化挖掘cnvd证书脚本

Xray捡洞中的高频漏洞

实战｜通过供应链一举拿下目标后台权限

实战｜一次真实的域渗透拿下域控（内网渗透）

看到这里了，点个“赞”、“再看”

文章来源: http://mp.weixin.qq.com/s?__biz=MzI4NTcxMjQ1MA==&mid=2247574656&idx=1&sn=cb15d860ad0871f6f013c837bb175027&chksm=ebebedaddc9c64bb9cccfcf7efd54f40eedd3bf5591372f08b0d943422611e44eb4317a543a3#rd
如有侵权请联系:admin#unsafe.sh