hacktricks/network-services-pentesting/pentesting-web/403-and-401-bypasses.md

# Bypassiranje 403 i 401

<details>

<summary><strong>Naučite hakovanje AWS-a od nule do heroja sa</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Drugi načini podrške HackTricks-u:

* Ako želite da vidite **vašu kompaniju reklamiranu na HackTricks-u** ili **preuzmete HackTricks u PDF formatu**, proverite [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)!
* Nabavite [**zvanični PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Otkrijte [**The PEASS Family**](https://opensea.io/collection/the-peass-family), našu kolekciju ekskluzivnih [**NFT-ova**](https://opensea.io/collection/the-peass-family)
* **Pridružite se** 💬 [**Discord grupi**](https://discord.gg/hRep4RUj7f) ili [**telegram grupi**](https://t.me/peass) ili nas **pratite** na **Twitter-u** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Podelite svoje hakovanje trikove slanjem PR-ova na** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repozitorijume.

</details>

<figure><img src="/.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>

**Trenutno dostupna postavka za procenu ranjivosti i testiranje penetracije**. Pokrenite puni pentest sa više od 20 alata i funkcija koje idu od rekonstrukcije do izveštavanja. Mi ne zamenjujemo pentestere - mi razvijamo prilagođene alate, module za otkrivanje i eksploataciju kako bismo im vratili neko vreme da dublje kopaju, otvaraju ljuske i zabavljaju se.

{% embed url="https://pentest-tools.com/" %}

## Fuzziranje HTTP glagola/metoda

Pokušajte koristiti **različite glagole** za pristupanje fajlu: `GET, HEAD, POST, PUT, DELETE, CONNECT, OPTIONS, TRACE, PATCH, INVENTED, HACK`

* Proverite odgovorne zaglavlja, možda se može dobiti neke informacije. Na primer, **200 odgovor** na **HEAD** sa `Content-Length: 55` znači da **HEAD glagol može pristupiti informacijama**. Ali i dalje morate pronaći način da te informacije izvučete.
* Korišćenje HTTP zaglavlja kao što je `X-HTTP-Method-Override: PUT` može prebrisati korišćeni glagol.
* Koristite **`TRACE`** glagol i ako imate sreće, možda u odgovoru možete videti i **zaglavlja dodata od strane posredničkih proxy-ja** koja mogu biti korisna.

## Fuzziranje HTTP zaglavlja

* **Promenite Host zaglavlje** u neku proizvoljnu vrednost ([to je radilo ovde](https://medium.com/@sechunter/exploiting-admin-panel-like-a-boss-fc2dd2499d31))
* Pokušajte **koristiti druge User Agente** za pristup resursu.
*   **Fuzzirajte HTTP zaglavlja**: Pokušajte koristiti HTTP Proxy **Zaglavlja**, HTTP Autentifikacija Basic i NTLM brute-force (samo sa nekoliko kombinacija) i druge tehnike. Za sve ovo sam kreirao alat [**fuzzhttpbypass**](https://github.com/carlospolop/fuzzhttpbypass).

* `X-Originating-IP: 127.0.0.1`
* `X-Forwarded-For: 127.0.0.1`
* `X-Forwarded: 127.0.0.1`
* `Forwarded-For: 127.0.0.1`
* `X-Remote-IP: 127.0.0.1`
* `X-Remote-Addr: 127.0.0.1`
* `X-ProxyUser-Ip: 127.0.0.1`
* `X-Original-URL: 127.0.0.1`
* `Client-IP: 127.0.0.1`
* `True-Client-IP: 127.0.0.1`
* `Cluster-Client-IP: 127.0.0.1`
* `X-ProxyUser-Ip: 127.0.0.1`
* `Host: localhost`

Ako je **putanja zaštićena**, možete pokušati zaobići zaštitu putanje koristeći ova druga zaglavlja:

* `X-Original-URL: /admin/console`
* `X-Rewrite-URL: /admin/console`
* Ako je stranica **iza proksija**, možda je proksi taj koji vam sprečava pristup privatnim informacijama. Pokušajte zloupotrebiti [**HTTP Request Smuggling**](../../pentesting-web/http-request-smuggling/) **ili** [**hop-by-hop zaglavlja**](../../pentesting-web/abusing-hop-by-hop-headers.md)**.**
* Fuzzirajte [**posebna HTTP zaglavlja**](special-http-headers.md) u potrazi za različitim odgovorima.
* **Fuzzirajte posebna HTTP zaglavlja** dok fuzzirate **HTTP metode**.
* **Uklonite Host zaglavlje** i možda ćete moći zaobići zaštitu.

## Fuzziranje putanje

Ako je _/putanja_ blokirana:

* Pokušajte koristiti _**/**_**%2e/putanja** \_(ako je pristup blokiran od strane proksija, ovo može zaobići zaštitu). Pokušajte takođe**\_\*\* /%252e\*\*/putanja (dvostruko URL enkodiranje)
* Pokušajte **Unicode zaobilaženje**: _/**%ef%bc%8f**putanja_ (URL enkodirani karakteri su slični "/") pa kada se ponovo enkodiraju, biće _//putanja_ i možda ste već zaobišli proveru imena _/putanja_
* **Druga zaobilaženja putanje**:
* site.com/tajno –> HTTP 403 Forbidden
* site.com/TAJNO –> HTTP 200 OK
* site.com/tajno/ –> HTTP 200 OK
* site.com/tajno/. –> HTTP 200 OK
* site.com//tajno// –> HTTP 200 OK
* site.com/./tajno/.. –> HTTP 200 OK
* site.com/;/tajno –> HTTP 200 OK
* site.com/.;/tajno –> HTTP 200 OK
* site.com//;//tajno –> HTTP 200 OK
* site.com/tajno.json –> HTTP 200 OK (ruby)
* Koristite celu [**ovu listu**](https://github.com/danielmiessler/SecLists/blob/master/Fuzzing/Unicode.txt) u sledećim situacijama:
* /FUZZtajno
* /FUZZ/tajno
* /tajnoFUZZ
* **Druga zaobilaženja API-ja:**
* /v3/korisnici\_podaci/1234 --> 403 Forbidden
* /v1/korisnici\_podaci/1234 --> 200 OK
* {“id”:111} --> 401 Neautorizovano
* {“id”:\[111]} --> 200 OK
* {“id”:111} --> 401 Neautorizovano
* {“id”:{“id”:111\}} --> 200 OK
* {"user\_id":"\<legit\_id>","user\_id":"\<victims\_id>"} (JSON Parameter Pollution)
* user\_id=ID\_NAPADAČA\&user\_id=ID\_ŽRTVE (Parameter Pollution)
## **Manipulacija parametrima**

* Promenite vrednost parametra: Od **`id=123` --> `id=124`**
* Dodajte dodatne parametre u URL: `?`**`id=124` —-> `id=124&isAdmin=true`**
* Uklonite parametre
* Promenite redosled parametara
* Koristite posebne karaktere.
* Izvršite testiranje granica u parametrima - pružite vrednosti kao što su _-234_ ili _0_ ili _99999999_ (samo neki primeri vrednosti).

## **Verzija protokola**

Ako koristite HTTP/1.1 **pokušajte da koristite 1.0** ili čak testirajte da li podržava 2.0.

## **Drugi načini zaobilaženja**

* Dobijte **IP** ili **CNAME** domena i pokušajte da ih **direktno kontaktirate**.
* Pokušajte da **opteretite server** slanjem uobičajenih GET zahteva ([To je uspelo ovom momku sa Facebookom](https://medium.com/@amineaboud/story-of-a-weird-vulnerability-i-found-on-facebook-fc0875eb5125)).
* **Promenite protokol**: od http do https, ili od https do http
* Idite na [**https://archive.org/web/**](https://archive.org/web/) i proverite da li je ta datoteka bila **svetski dostupna** u prošlosti.

## **Brute Force**

* **Pogađanje lozinke**: Testirajte sledeće uobičajene akreditive. Da li znate nešto o žrtvi? Ili ime izazova CTF?
* [**Brute force**](../../generic-methodologies-and-resources/brute-force.md#http-brute)**:** Pokušajte osnovnu, digest i NTLM autentifikaciju.

{% code title="Uobičajeni akreditivi" %}
```
admin    admin
admin    password
admin    1234
admin    admin1234
admin    123456
root     toor
test     test
guest    guest
```
{% endcode %}

## Automatski alati

* [https://github.com/lobuhi/byp4xx](https://github.com/lobuhi/byp4xx)
* [https://github.com/iamj0ker/bypass-403](https://github.com/iamj0ker/bypass-403)
* [https://github.com/gotr00t0day/forbiddenpass](https://github.com/gotr00t0day/forbiddenpass)
* [Burp Ekstenzija - 403 Bypasser](https://portswigger.net/bappstore/444407b96d9c4de0adb7aed89e826122)
* [Forbidden Buster](https://github.com/Sn1r/Forbidden-Buster)

<figure><img src="/.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>

**Trenutno dostupna postavka za procenu ranjivosti i testiranje penetracije**. Pokrenite potpuni pentest sa bilo kog mesta sa više od 20 alata i funkcija koje idu od rekonstrukcije do izveštavanja. Mi ne zamenjujemo pentestere - mi razvijamo prilagođene alate, module za otkrivanje i eksploataciju kako bismo im vratili neko vreme da dublje kopaju, otvaraju ljuske i zabavljaju se.

{% embed url="https://pentest-tools.com/" %}

<details>

<summary><strong>Naučite hakovanje AWS-a od nule do heroja sa</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Drugi načini da podržite HackTricks:

* Ako želite da vidite **vašu kompaniju reklamiranu u HackTricks-u** ili **preuzmete HackTricks u PDF formatu** Pogledajte [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)!
* Nabavite [**zvanični PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Otkrijte [**The PEASS Family**](https://opensea.io/collection/the-peass-family), našu kolekciju ekskluzivnih [**NFT-ova**](https://opensea.io/collection/the-peass-family)
* **Pridružite se** 💬 [**Discord grupi**](https://discord.gg/hRep4RUj7f) ili [**telegram grupi**](https://t.me/peass) ili nas **pratite** na **Twitter-u** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Podelite svoje hakovanje trikove slanjem PR-ova na** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repozitorijume.

</details>