GitHub上有研究人员分享BurpSuite分块传输辅助插件
最新回答
下一站の調情
2026-04-23 13:37:53
GitHub上由研究人员分享的BurpSuite分块传输辅助插件名为chunked-coding-converter，其核心功能是通过HTTP分块传输编码（Transfer-Encoding: chunked）绕过WAF（Web应用防火墙）的规则检测。以下是关键信息整理：
一、插件基本信息- GitHub地址：https://github.com/c0ny1/chunked-coding-converter
- 开发者：c0ny1（白帽汇安全研究院研究人员）
- 核心原理：利用HTTP协议中的Transfer-Encoding: chunked请求头，将攻击载荷（如SQL注入、XSS等）拆分为多个数据块传输，使WAF无法直接识别恶意内容。
HTTP分块编码机制：
当请求头包含Transfer-Encoding: chunked时，HTTP消息体被拆分为多个块，每个块以十六进制长度值开头，后跟实际数据，最后以0rnrn结束。
示例：攻击载荷1 and 1=1可能被分块为：
3rn1 arn 6rnand 1=1rn 0rnrn绕过WAF的关键点：
变形能力：分块后的数据与原始载荷差异显著，可绕过基于特征匹配的WAF规则。
协议合规性：分块传输是HTTP标准功能，合法流量也可能使用，因此WAF难以直接拦截。
复杂排列：分块顺序和大小需符合协议规范，否则会导致解析失败（插件已内置合法排列逻辑）。
菜单入口：在BurpSuite的右键菜单中提供“Chunked-coding convert”选项，支持对请求进行分块编码或解码。
配置选项：
Chunk Size：自定义分块大小（默认自动计算）。
Random Chunk：随机化分块顺序以增强绕过效果。
Encode Chunk：对分块数据进行额外编码（如URL编码）。
相关技术文章：
利用分块传输吊打所有WAF在HTTP协议层面绕过WAF（插件文档）编写Burp分块传输插件绕WAF适用场景：
测试WAF对分块传输的检测能力。
绕过基于静态特征匹配的防护规则（如SQL注入、XSS检测）。
结合其他绕过技术（如参数污染、大小写混淆）提升攻击成功率。
- 合法性：仅限授权测试，未经许可使用可能违反法律。
- 局限性：部分WAF已针对分块传输优化检测逻辑，需结合其他技术。
- 兼容性：需确保目标服务器支持HTTP/1.1及以上版本。
该插件为安全研究人员提供了高效的WAF绕过工具，但需严格遵循道德黑客准则使用。
热门标签
