HTTP 请求走私检测工具

该 Burp Suite 扩展程序能够自动检测并利用 HTTP 请求走私 漏洞，采用由 PortSwigger 研究员 James Kettle 开发的高级去同步技术。它支持对 HTTP/1.1 和 HTTP/2 降级去同步漏洞、客户端去同步以及连接状态攻击进行全面扫描。

2025 年发布的 3.0 版本新增了解析器差异检测功能，可绕过广泛部署的去同步防御措施，从而显著提升有效性。有关此功能的更多信息，请参阅白皮书 HTTP/1.1 Must Die: The Desync Endgame。

该工具完全兼容 Burp Suite DAST、Professional 和 Community 版本。Pro 和 Community 版本提供“研究模式”，用于探索新技术；DAST 集成则适用于希望定期扫描并第一时间标记新威胁的场景。

特性

• 基于底层解析差异的根因检测，显著提高可靠性并抵抗目标特异性干扰。
• 多种排列技术，用于绕过不同服务器配置
• HTTP/1.1 CL.TE 和 TE.CL 去同步检测，附带超时确认机制
• HTTP/2 请求走私，包括隧道攻击和标头注入攻击
• 客户端去同步检测，用于基于浏览器的攻击
• 标头走私与移除漏洞检测
• 连接状态操控与基于暂停的去同步技术
• 自动生成利用代码，集成 Turbo Intruder
• 通过多种验证技术降低误报率

安装

在 Burp Suite 中，最简便的安装方式是通过 Extender -> BApp Store。

如果您希望手动加载 jar 文件，请在 Burp Suite（Community 或 Pro）中使用 Extender -> Extensions -> Add 加载 build/libs/http-request-smuggler-all.jar

编译

Turbo Intruder 是本项目的依赖项，请将其添加至源代码根目录，并命名为 turbo-intruder-all.jar

使用以下命令构建：

Linux: ./gradlew build fatjar

Windows: gradlew.bat build fatjar

从 build/libs/desynchronize-all.jar 获取构建产物

使用

右键单击请求，选择 Launch Smuggle probe，然后查看 Organizer 和扩展程序的输出面板（位于 Extender->Extensions->HTTP Request Smuggler）

如果您使用 Burp Pro，任何发现也会作为扫描问题报告。

如果您在使用了分块编码的请求上右键单击，还会看到另一个选项 Launch Smuggle attack。这将打开一个 Turbo Intruder 窗口，您可以通过编辑 prefix 变量尝试各种攻击。

更高级的使用方法，请观看视频。

练习

我们发布了一系列免费在线实验室供您练习。以下是如何使用该工具解决第一个实验室——HTTP request smuggling, basic CL.TE vulnerability 的步骤：

1. 使用 Extender->BApp store 标签页安装“HTTP Request Smuggler”扩展程序。
2. 加载实验室主页，在代理历史中找到该请求，右键单击并选择“Launch smuggle probe”，然后单击“OK”。
3. 等待探测完成，扩展程序输出标签页中显示“Completed 1 of 1”即表示完成。
4. 如果您使用 Burp Suite Pro，请在仪表板中找到报告的漏洞，并打开第一个附加的请求。
5. 如果您使用 Burp Suite Community，请从输出标签页复制请求并粘贴到 Repeater 中，然后填写右上角的“Target”详细信息。
6. 右键单击该请求，选择“Smuggle attack (CL.TE)”。
7. 将“prefix”变量的值更改为“G”，然后单击“Attack”，确认有一个响应显示“Unrecognised method GPOST”。

通过更改步骤 7 中的“prefix”变量，您可以解决所有实验室以及几乎所有的真实世界场景。