技能介绍

要解决什么问题

访问 API、后台或静态资源时，请求常常被 WAF、CDN 或反向代理拦成 403 Forbidden：目标路径其实存在，只是前置规则没有和后端解析器对齐。这类问题不是认证设计漏洞，而是访问控制链路上“代理看到的路径/方法/头”与“后端实际处理的路径/方法/头”不一致。该技能把常见差异整理成可执行的测试路径，而不是只给零散 payload。

技能如何工作

技能围绕“前置校验与后端解析错位”展开，核心能力包括：

路径操纵绕过：利用尾斜杠、缺少斜杠、大小写、URL 编码、双重编码、Unicode/UTF-8、./.. 片段、空字节、路径参数注入、Windows 反斜杠等变体，让代理按允许路径放行，后端却路由到受限路径。
HTTP 方法绕过：当代理按方法拦截时，尝试改方法，或使用 X-HTTP-Method-Override 等覆写头；也覆盖自定义/非法方法的后端兼容性。
请求头绕过：使用 X-Original-URL、X-Rewrite-URL 等重写头，或 X-Forwarded-For、X-Real-IP、CF-Connecting-IP 等 IP 欺骗头绕过白名单；IP 值会覆盖 octal、decimal、hex、localhost 等写法。
协议与组合攻击：利用协议版本差异，并把动词篡改与路径技巧组合，提高命中概率。

技能的工作方式是先给一张决策树：从路径解析差异开始，再到方法覆写、请求头重写/IP 伪造、协议版本，最后进入 verb+path 组合。对不同服务器，技能会引导你关注关键差异，例如 Apache 的尾斜杠/.admin/CR 变体，Nginx 的大小写与 X-Original-URL，IIS/ASP.NET 的 ; 参数、反斜杠和 ADS，Tomcat/Java 的 path parameter 与 ;/ 变体，Spring 的 suffix matching 和尾斜杠。常用自动化工具包括 byp4xx、403bypasser、dirsearch、feroxbuster 与 Burp Intruder，用于扫描 header/path/method 变体和递归内容发现。

适用边界与注意点

它适用于授权渗透、红队、API 安全评审和 WAF/网关回归测试。若后端有真实认证逻辑，仅改头、路径或方法通常仍会被拒；此时应转向认证缺陷、会话处理或授权模型问题。协议版本技巧在 HTTP/2、h2c 或代理链场景可能不适用，需结合目标中间件验证。对启用严格 WAF 的目标，编码和路径参数组合容易触发告警，测试时要控制频率并遵守授权范围。请求走私属于另一类绕过，不应与本技能混用。