401-403-bypass-techniques

用途：当在管理后台、API 端点或受限路径上遇到 401/403 拒绝访问时，提供系统化的绕过排查思路，属于授权渗透测试中的访问控制测试环节。

主要能力：

1. 路径变形：尾斜杠、大小写、URL 编码、双重编码、Unicode/UTF-8 超长编码、点段与路径穿越、空字节、路径参数（如 /admin;foo=bar）、尾部特殊字符、反斜杠及组合技巧。
2. HTTP 方法绕过：直接更换方法（POST/PUT/PATCH/DELETE/OPTIONS/TRACE/HEAD），以及 X-HTTP-Method-Override、X-Method-Override、_method 等改写头或表单字段；还包括自定义/无效方法与 WebDAV 方法。
3. 请求头绕过：X-Original-URL、X-Rewrite-URL 等 URL 重写头；X-Forwarded-For、X-Real-IP、True-Client-IP 等 IP 伪造头（含八进制、十进制、十六进制等 IP 编码变体）；Referer、Origin、Host、Content-Type 等辅助头。
4. 协议版本：HTTP/1.0、HTTP/0.9 及 HTTP/2 伪首部技巧。
5. 组合攻击：方法+路径、头+路径、协议+路径等叠加提高成功率。
6. 技术栈专属：Apache、Nginx、IIS/ASP.NET、Tomcat/Java、Spring 的典型绕过方式。
7. 自动化工具：byp4xx、403bypasser、dirsearch、feroxbuster、Burp Intruder；示例命令 ./byp4xx.sh https://target.com/admin。
8. 决策树：按路径→方法→头→协议→组合→替代思路（请求走私、SSRF、IDOR、认证缺陷）的顺序排查。

使用方式：先尝试路径变形（成功率最高），再依次尝试方法、请求头、协议与组合；可配合自动化扫描器补全覆盖。

适用场景：授权范围内的 Web 安全测试、访问控制策略验证与加固前评估。

限制：仅限合法授权测试；实际效果取决于目标代理与后端规范化差异，资料未提供具体成功率、收费或平台信息。