HTTP/3-Adapter

एक Burp Suite एक्सटेंशन जो अनुरोधों को HTTP/3 के माध्यम से भेजता है।

Burp मूल रूप से HTTP/3 का समर्थन नहीं करता। यह एक्सटेंशन एक HTTP/3 स्टैक लागू करता है, सभी अनुरोधों को इंटरसेप्ट करता है, उन्हें परिवर्तित करके HTTP/3 के माध्यम से भेजता है और फिर प्रतिक्रिया को वापस HTTP संस्करण में परिवर्तित करता है जिसे Burp समझ सके।

इंस्टॉल

BAPP Store में उपलब्ध है।

स्वयं बनाएं:

./gradlew jar     # -> build/libs/HTTP3-Adapter-0.0.1.jar

HTTP/3 के माध्यम से अनुरोध भेजें

Explicit HTTP/3 only मोड में एक X-Http3 हेडर जोड़ें:

GET /admin HTTP/1.1
Host: example.com
X-Http3: 1

Always HTTP/3 where possible मोड में, यदि एप्लिकेशन HTTP/3 का समर्थन करता है तो कोई भी ट्रैफ़िक अनुकूलित किया जाएगा।

जांचें कि कौन सी साइटें HTTP/3 का समर्थन करती हैं

यदि आप जानना चाहते हैं कि आपके प्रॉक्सी इतिहास में कई होस्ट HTTP/3 का समर्थन करते हैं या नहीं, तो आप उन्हें चुन सकते हैं और Check HTTP/3 Support कॉन्टेक्स्ट मेनू विकल्प का उपयोग कर सकते हैं जो organizer में रिपोर्ट करता है।

सेटिंग्स

Settings -> Extensions -> HTTP/3 Adapter

Setting	Default	Notes
Mode	Explicit HTTP/3 only	ऊपर बताए गए दो मोड के बीच स्विच करता है
Handshake timeout (ms)	10000
Request timeout (ms)	15000
Reuse connections	on
Log exchanges to Output	off	प्रत्येक अनुकूलित अनुरोध और प्रतिक्रिया को Output पैनल में लिखता है।
Show unsupported origins tab	off	नीचे देखें।
Strip Connection, Keep-Alive, Proxy-Connection, Transfer-Encoding, Upgrade	on	HTTP/3 इन हेडर को मना करता है, उन्हें जानबूझकर भेजने के लिए अनचेक करें।
Verify TLS certificates	off	डिफ़ॉल्ट रूप से Burp के अपने अपस्ट्रीम व्यवहार से मेल खाता है।

Unsupported Origins टैब

यह टैब आपको दिखाएगा कि कौन से होस्ट HTTP/3 QUIC हैंडशेक में विफल रहे। यदि आपका कनेक्शन अस्थिर है तो आप पुनः प्रयास करने के लिए इस सूची को साफ़ कर सकते हैं। टैब डिफ़ॉल्ट रूप से छिपा हुआ है, लेकिन सेटिंग्स पैनल में सक्षम किया जा सकता है।

Kettled अनुरोध

HTTP/2 की तरह ही, अनुरोधों को kettled किया जा सकता है।

X-Http3: 1 हेडर के साथ एक X-Kettled: 1 हेडर जोड़ें और हेडर ब्लॉक बिल्कुल वैसे ही भेजा जाता है जैसे लिखा गया है। नाम अपना केस बनाए रखते हैं, कुछ भी हटाया नहीं जाता, Host को :authority में नहीं मोड़ा जाता, और इन एस्केप को पहले डिकोड किया जाता है:

Escape	Byte
^~	CR LF
^r	CR
^n	LF
^0	NULL
^s	space
^xNN	any byte, two hex digits
^^	a literal ^

POST /x HTTP/1.1
X-Http3: 1
X-Kettled: 1
:method: BREW
content-length: 10
foo: bar^~transfer-encoding:^schunked

0

hello

सीमाएँ

• अपस्ट्रीम प्रॉक्सी को बायपास किया जाता है।
• अनुकूलित ट्रैफ़िक Logger में नहीं दिखाई देता।