401 403 Bypass

401/403 绕过方法论

核心思路：反向代理/WAF 检查一种路径格式，但后端做了不同的路径规范化。

深入参考

• 路径操纵 Payload 完整列表 → references/path-manipulation-payloads.md
• HTTP 方法/Header 绕过 → references/method-header-bypass.md
• 中间件特定绕过与组合攻击 → references/middleware-combo-bypass.md

决策树

遇到 401/403？
├── 1. 路径操纵（成功率最高）
│   ├── /path/ → /PATH → /path%20 → /./path → //path
│   ├── /path;x → /path..;/ → /%2e/path → /path%00
│   └── 200？→ 绕过成功
├── 2. 方法绕过
│   ├── POST/PUT/PATCH/DELETE/OPTIONS/HEAD
│   ├── X-HTTP-Method-Override: PUT
│   └── PROPFIND/自定义方法
├── 3. Header 绕过
│   ├── X-Original-URL: /path（Nginx/IIS）
│   ├── X-Forwarded-For: 127.0.0.1（IP 白名单）
│   └── Referer/Origin/Host 伪造
├── 4. 协议绕过
│   └── HTTP/1.0
├── 5. 组合攻击
│   └── Method + Path + Header 三合一
├── 全部失败 → 其他思路
│   ├── 请求走私 → cache-poisoning-smuggling
│   ├── SSRF → ssrf-methodology
│   ├── IDOR → idor-methodology
│   └── 认证逻辑 → privilege-escalation-web
└── 自动化扫描 byp4xx / 403bypasser

快速参考 — 路径操纵要点

快速参考 — 方法/Header 要点

中间件速查

完整 payload 列表见 references 文件

Spring MVC .do 鉴权绕过与 302 登录跳转

Java 政务/企业系统常见 *.do（Spring MVC）接口，鉴权实现差异常导致绕过：

请求 .do 接口 → 302 跳转登录页 (login_tologin.do)
├── 1. 去掉 .do 后缀重试：/user.do → /user
├── 2. 加后缀绕过：/user.do → /user.do/、/user.do;.css、/user.do?x=
├── 3. 大小写/编码：/User.do、/%75ser.do
├── 4. 方法切换：GET → POST → PUT
├── 5. 直接带参数访问：login_tologin.do 类登录/注册入口无鉴权时
│   └── 尝试未授权调用 registersysuser / goedituser 类注册、改用户接口
├── 6. 302 响应分析：Location 中泄露内部路径/参数
└── 7. Cookie/Session 复用：登录接口 302 后 Set-Cookie 未校验

• registersysuser（注册用户）、goedituser（编辑用户）等接口名在生产环境中常见，若未鉴权即可未授权注册/修改用户（越权注册），测试时先确认接口存在再验证权限。
• 判断标准：不携带登录态访问受保护接口，若返回业务数据/成功操作而非 401/403/302，则鉴权失效。

国产/Java 系统鉴权绕过速查