f403是一款用于渗透测试中对40x页面进行bypass测试的扫描工具,通过多种方式尝试绕过状态码为40x的页面,采用go编写
-a, --AddHeader strings the headers you will add,for explame: -a 'cookie:123,Referer:https://www.baidu.com'
-b, --bypassip strings the ip you will add behind some header like x-client-ip: 192.168.1.1,for example,-b 192.168.1.1,30.1.1.1 and the default value 127.0.0.1,localhost
-h, --help help for f403
-d, --postdata string the post data you will add when sending post request,for expamle: -d 'username=admin&password=123456' or add json data: -d '{"username":"admin","password":"123456"}'
-p, --proxy string the proxy you will use,support http and socks5 ,for example: -p 'http://127.0.0.1:8080' or -p 'socks5://127.0.0.1:8080'
-u, --url string the target url
简单用法:
./f403 -u http://www.baidu.com/admin/
全参数用法:
./f403 -u http://www.baidu.com/asdf/admin/ -p http://127.0.0.1:8080 -a 'cookie: 123,Referer: https://www.baidu.com' -d 'admin=1&p=1' -b 1.1.1.1
其中bypass语句配置文件在f403.yaml中,可自行添加或删除,若直接下载releases,请同时手动添加f403.yaml
-
测试常见http方法
-
添加常见的http头进行测试,分别使用GET和POST方法发送,如X-Host,X-Forward-For,X-Real-IP,Forwarded-For等
-
在url最后添加部分字符进行测试
-
在url中间添加字符进行测试
-
将url中的路径进行大小写转换测试
后台回复"f403"可获取下载地址,回复"CF工具获取"可获取v0.5版本CF工具,回复"HeapDump"可获取heapdump敏感信息提取工具
注:本文中提到的漏洞验证 poc 或工具仅用于授权测试,任何未经授权的测试均属于非法行为。任何人不得利用本文中的技术手段或工具进行非法攻击和侵犯他人的隐私和财产权利。一旦发生任何违法行为,责任自负。
原文始发于微信公众号(扫地僧的茶饭日常):[工具篇] 403BYPASS工具推荐
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论