I-Trabajar ne-HTTP/2 en Burp Suite: i-pruebas, i-ajustes y ataques de alto nivel

Ikhaya » Python » I-Trabajar ne-HTTP/2 en Burp Suite: i-pruebas, i-ajustes y ataques de alto nivel

I-HTTP/2 ha abierto una superficie de pruebas que antes era casi incable con herramientas centradas ku-HTTP/1. I-Burp Suite, ephuma ku-Inspector kanye nomhleli we-mensajes, ivumela ukukhohlisa nokuhlaziywa kwezicelo ze-H2 zokulawula ukuthi akukho okufakiwe kwemikhiqizo emisha. Ngiyethemba iwebhu ephenyayo, i-dominar como Burp trabaja ku-HTTP/2 es clave para descubrir fallos modernos como desincronizaciones, cela ukushushumbiswa kanye nokwehliswa kwe-inyecciones imposibles ku-HTTP/1.

Futhi, los ajustes finos de Burp (protocolo por defecto, opciones de Repeater, abalaleli del Ummeleli y tratamiento de respuestas especiales) i-marcan la differencia entre ver un falso negativo y explotar una brecha crítica. Aquí tienes una guía práctica, de nivel profesional, que integra lo esencial del protocolo, las funciones únicas de Burp y las técnicas de ataque más actuales, todo explicado en un español natural y directo.

Nge-HTTP/2 cambia las reglas del juego en Burp Suite

Izinsiza eziningi ze-HTTP/2, kanye ne-aparecen fallos imposibles de detector kanye nemikhawulo ku-HTTP/1. I-Burp Suite ye-elegir entre dos modos de trabajo ne-peticionees H2: i-premiereeación estilo HTTP/1 en el editor (Burp normaliza y envía el equivalente en HTTP/2) o la vista ku-HTTP/2 ku-Inspector, que muestra cabeceras y pseudo-cabeceras reales y te permite construir ataques exclusivos de HTTP/2.

Ngale nhlanganisela, ama-puedes explorar vectores que apenas han sido auditados por falta de herramientas adecuadas hasta hace poco. La capacidad de Burp para very editar pseudo-cabeceras, inyectar nuevos caracteres en cabeceras y manipular el formato binario de H2 se traduce en hallazgos muy jugosos, como variantes modernas de isicelo ukushushumbiswa.

Okuzenzakalelayo, I-Burp negocia HTTP/2 cuando elservidor lo anuncia vía ALPN durante el handshake TLS. Aunque no busques fallos de protocolo, te aprovechas del rendimiento de H2; y cuando sí los buscas, puedes forzar la versión en cada solicitud desde el Inspector.

Cuando estás cazando vulnerabilidades a nivel de protocolo, es imprescindible saber qué versión usas en cada golpe. I-Burp lo deja claro ne-varios puntos: i-linea de petición y de estado en el editor, etiqueta de protocolo en I-Repeater (zona superior derecha) y Cela Izimfanelo en el Inspector. Kunomongo akukho okuhlelekayo, es informativo; zu Ummeleli/Repetidor, puedes alternar la versión y reenviar.

I-También puedes cambiar protocolo a mano por petición. Burp transforma automaticamente el mensaje para que sea válido en el nuevo formato. Uma ufuna ukuhlola i-HTTP/2 noma isevisi ye-ALPN, vula Vumela i-HTTP/2 ALPN ibhalwe ngaphezulu kumenyu ye-Repeater y i-podrás tantear soporte H2 oculto.

I-Conceptos clave ye-HTTP/2 yokuthi idinga ukubusa

I-HTTP/2 yi-binaryo. En HTTP/1 todo es texto y los servidores separan campos con operaciones de cadena (dos puntos, saltos de línea, njll.). En H2 los datos están a offsets definidos, así que los delimitadores pierden significado. Esto abre la puerta a meter nuevas secuencias en nombres y valores de cabeceras que en H1 te romperían el mensaje, y algunos servidores las toleran pese a lo que dicta la especificación.

La red, los mensajes H2 viajan en ozimele: uno de cabeceras (equivalente a línea de petición + cabeceras de H1) y, si toca, varios de datos con el cuerpo. Burp por simplicidad no te muestra los ozimele noma ngokwehlukana; te ofrece una vista unificada para trabajar cómodo sin perder la fidelidad del contenido.

Ubude besikhathi eside be-H2 buchaza: cada frame lleva su propio campo de longitud y el servidor suma. Esto evita ambigüedades típicas de Content-Length o Transfer-Encoding en H1. Noma kunjalo, ese choque entre mundos se vuelve arma i-cuando hay front-ends que degradan H2 a H1 para hablar con el back-end.

HTTP/2 ukwethula i-pseudo-cabeceras que sustituyen umugqa wesicelo kanye nomugqa wesimo: :method, :path, :authority, :scheme y :status (esta última solo en respuestas). Según la RFC, deben ir antes que las cabeceras normales, y Burp las envía en orden fijo a menos que lo cambies en el Inspector.

Qaphela ukuhambisana: los nombres de cabecera en H2 deberían ir en minúsculas. Es técnicamente posible usr mayúsculas, pero algunos servidores rechazan la petición por incumplir la especificación. Por eso, la normalización de Burp evita que conviertas sin querer un mensaje válido en H1 en uno inválido en H2.

Dos amafomu e-trabajar con peticiones en Burp: umhleli vs Umhloli

En el editor de mensajes puedes usar una i-estilo ye-HTTP/1 para peticiones HTTP/2. Burp normaliza tus cambios y envía un equivalente H2 al servidor. Kuhle impela el protocolo te da igual y quieres ir rápido probando la app.

En el Inspector, en cambio, tienes una i-vista nativa ye-HTTP/2 con las pseudo-cabeceras y cada cabecera en campos de Nombre/Valor. I-Como no depende de la sintaxis H1, puedes connstruir payloads H2 exclusivos: inyectar dos puntos en nombres de cabecera, espacios o saltos de linea en método y path, noma I-CRLF i-dentro de cabeceras. Muchas de estas ediciones son tan simples como i-doble click y teclear, futhi uma ifaka i-CRLF ifaka i-abrir el detalle de la cabecera futhi isetshenziswa Shift + Return ukwethula \r\n.

U-Al hacer ediciones que no se pueden ummeleli en H1 sin perder información, Burp marca la solicitud como iketela. Ngakolunye uhlangothi, umhleli we-deja of intentar mostrarte un equivalente H1 y verás una notification explicando por qué está kettled; el cuerpo sigue ebonakalayo, pero cualquier cambio en cabeceras lo harás desde el Inspector.

I-Rastrear y cambiar el protocolo en cada petición

Gcoba usebenzisa i-HTTP/2 bese ususa isevisi yakho nge-ALPN. Kudingeka ukuthi kugxilwe ku-fallos mayelana nokudinga i-H1 (isibonelo, i-CL.TE noma i-TE.CL clásicos), i-puedes cambiar el protocolo por defecto del proyecto en Izilungiselelo > Inethiwekhi > HTTP, desmarcando la opción de preferir H2. Siempre podrás sobrescribirlo por petición con el conmutador de protocolo del Inspector.

Para identificar la versión en uso, Burp lo expone en varios sitios: i-linea de petición/estado del editor, el indicador en Repeater junto al host de destino, y en el Umhloli > Cela Izibaluli. Okuhlelelwe umongo, njengalokhu umkhethi uvumela thuthukisa noma ukwehlisa izinga la solicitud al vuelo.

Uma ufuna i-probar soporte H2 no-anunciado (HTTP/2 oculto), isebenze ku-Repeater Vumela i-HTTP/2 ALPN ibhalwe ngaphezulu. Con esto, podrás i-forzar HTTP/2 ifaka i-cuando el servidor no lo publique nge-ALPN y descubrir superficies de ataque escondidas.

En escenarios raros en los que el cliente que navega a través del Proxy tenga problemas con su implementación H2, puedes susa i-HTTP/2 nommeleli wommeleli: Izilungiselelo > Amathuluzi > Ummeleli > Abalaleli bommeleli > Hlela > pestaña HTTP/2 y desmarcar Ukusekela i-HTTP/2. Esto afecta solo la conexión cliente-Burp; akukho cambia la conexión Burp-servidor.

Izicelo ezifakwe eketelani: qué son, como se production y cómo revertirlas

Una petición se vuelve iketela i-cuando ingenisa i-modificaciones que akekho ummeleli we-pueden con sintaxis HTTP/1 sin perder información. I-Ejemplos: añadir una letra mayúscula o dos puntos al nombre de una cabecera, CRLF en el nombre o ubuqhawe, espacios en :indlela o :indlela, i-modificar :scheme, i-duplicar pseudo-cabeceras o Faka; y espacio en un valor de cookie.

Sine-pasado de frenada, puedes i-deshacer kanye no-Ctrl/Cmd + Z, revertir manualmente desde el Inspector los cambios que causaron el estado kettled (la notificación del editor te lo chiva) o i-forzar ehlisa i-HTTP/1 i-aceptando que se perderán cambios engahambelani: Burp normalimará la solicitud y descartará lo ilegible en H1.

Izandiso zingakwazi crear y emiir nuevas peticiones iketela, por lo que ya puedes desarrollar tus propios complementos para pruebas en H2. Sin embargo, de momento ayikho i-pueden modificar i-solicitudes kettled que haya creado Burp, porque solo acceden a la representación normalizada estilo H1.

Como mejora en el roadmap de Burp, se trabaja en i-ampliar el soporte de kettled en más herramientas, con especial foco en que Intruder pueda manejarlas de forma nativa.

Izinketho ezilungisa i-HTTP/2 ku-Burp

Okuphindaphindayo kuhlanganisa opciones específicas para H2. I-Puedes mantener el protocolo en redirections entre dominios (phoqelela ukukhetha kwephrothokholi) para que los saltos cross-domain sigan con la versión seleccionada, crucial cuando las vulnerabilidades H2 disparan peticionees a otros host. Nawe ungakwenza habilitar o deshabilitar la reutilización de conexiones H2: algunos servidores tratan diferente la primera petición o dejan conexiones en estado corrupto, provocando intermitencias; noma ngabe i-desactivas, sicela ucele i-será siempre la primera del socket.

Otra opción de Repeater: por defecto Burp elimina la cabecera Connection en solicitudes H2, porque muchos servidores H2 las rechazan. Site apetece experimentar, puedes cambiar esta conducta y enviar Connection igualmente. Y, como ya hemos visto, Vumela i-HTTP/2 ALPN ibhalwe ngaphezulu te permite forzar H2 noma sin anuncio ALPN.

Más allá de H2, Burp permite configurar tipos de redirectión permitidos (3xx nge Indawo, Vuselela unhlokweni, meta refresh, JavaScript, cualquier status con Location), kanye ne-tratar respuestas ekusakazeni para no romper aplicaciones de salida continua (como interfaces con LLMs o SSE). I-El Proxy iyatholakala pasar el stream en tiempo real, Umphindaphindi realiza la respuesta al vuelo y el resto de herramientas lo ignoran. I-Puedes decidir si i-almacenar streams completos, susa imetadatos de chunked o umbhalo we-tratar/ukusakazwa komcimbi we-como ngokuzenzakalelayo.

En respuestas con Isimo 100, Bhubhisa puede entender 100-Qhubeka (saltando la respuesta intermedia y analizando la real) y retirar cabeceras 100 antes de pasarlas al resto de herramientas. En HTTP/1, Burp puede sebenzisa ukugcina-uphila si el servidor lo soporta y i-cierra conexiones i-TCP ingasebenzi Imizuzwana engu-5. Todos estos son ajustes de proyecto, i-aplican solo al proyecto yangempela.

I-HTTP/2 oculto: i-detección y mitigación

Es habitual encontrar servidores que i-soportan H2 noma i-ALPN. I-Esto oculta superficie de ataque y puede derivar en cela ukushushumbiswa noma ukwehliselwa phansi. Izimpawu ezilandelayo: ungazi i-ALPN y prueba a mandar H2. I-Con Burp (i-ALPN ikhipha i-Repeater) noma isebenzisa i-curl usebenzisa ulwazi lwangaphambili, i-puedes detectar este patrón rápidamente.

Ukuze uvikeleke, sicela usebenzise i-H2, asegúrate de anunciarlo bien. Anginaso isidingo, desactívalo del todo para no exponer superficie innecesaria. Entornos yehlisela phansi i-H2->H1, la recomendación es i-evitarlos y hablar H2 extremo a extremo.

Ama-Ataques nama-vectors ngaphandle kwe-HTTP/2

La gran familia de fallos en H2 llega conel yehlisa i-H2 i-H1 futhi ingaphambili. I-El front entiende la longitud por frames de H2, pero el back-end degradado vuelve a Ubude Bokuqukethwe/Ukudlulisa-Umbhalo Wekhodi. I-Ese desacuerdo iphinda yethula ama-desincronizaciones con nuevas variantes: I-H2.CL (ingaphambili alikho i-CL esemthethweni) y I-H2.TE (i-acepta cabeceras de conexión prohibidas como TE).

Un caso clebre de I-H2.CL yenza kube lula ukusakaza bukhoma. Al mandar una petición HTTP/2 con I-erróneo yobude bokuqukethwe y un payload diseñado, el back-end i-cortaba antes de tiempo y trataba el resto como isicelo esisha, ukuvumela prefijar la solicitud de otro usuario. Con un prefijo que provocaba redirectiones controladas, el impacto escalaba a robo de cuentas y datos sensibles.

Nge-vertiente I-H2.TE, algunos balanceadores aceptaron indebidamente Ukudlulisa-Umbhalo Wekhodi: kunqunyiwe ngokwehlisa izinga kanye ne-priorizaron frente a un Content-Length inyectado ne-front-end. Umphumela: colapsas el cuerpo antes y cuelas una segunda petición, con impactos desde fugas de códigos OAuth hasta ejecución de JS vía redirectciones en recursos estáticos.

Otro patrón potente es la inyección de cabeceras durante el downgrade usebenzisa I-CRLF dentro del valor de una cabecera H2. Ngokusekelwe ku-CDN, esto permitía introducir Ukudlulisa-Umbhalo Wekhodi: kunqunyiwe al volcarlo a H1 y i-desencadenar H2.TE con cache poisoning persistente, logrando control de páginas servidas desde la caché.

Okuhlukile H2.X ngokucela ukuhlukaniswa aparece cuando, al degradar, i-front-end ifaka i- el \r\n\r\n de cierre de cabeceras y convierte tu prefijo en una petición completa. Se observó un efecto dominó: cada usuario recibía la respuesta destinada al anterior, con Exposición de PII y cookies de sesión. I-Algunos intentos de parcheo incompletos dejaron vías como inyección en pseudo-cabeceras o bloquear CRLF ngenombolo I-LF suelto, que sigue siendo explotable.

I-Túneles de petición (isicelo sokudonsa): isiqinisekiso y i-explotar

Hay front-ends que awekho ama-reutilizan conexiones al back-end o aplican políticas 1:1 con el cliente. En estos escenarios, no puedes influir en la siguiente petición y las técnicas clásicas de confirmación fallan. Lo que sí queda es el i-túnel de petición: colar una segunda solicitud en el mismo viaje y obtener dos respuestas del emuva ekupheleni.

La confirmación con H1 es ambigua porque concatenar respuestas es normal en gcina uphila. Con H2, si ves cabeceras HTTP/1 incrustadas en el cuerpo de la respuesta H2, tienes la prueba del algodón. Un problema adicional: ama-algunos front-end leen solo tantos bytes como indique el Content-Length de la primera respuesta, ocultando la segunda.

La solución práctica que mejor funciona es cambiar a HEAD en la solicitud ebonakalayo, de forma que la primera respuesta traiga i-solo cabeceras. I-Esto hace que el front-end sobre-lea y te entregue el inicio de la segunda respuesta. Uma ngaphezu kwalokho tuneas una segunda solicitud inválida, su respuesta de error suele llegar antes y facilita la detección. I-paciencia eyishumi: por sensibilidad temporal, i-puede requerir varios intentos.

Para explotar de verdad, céntrate en cabeceras internas i-que el front-end inyecta (identidad del usuario, claves internas, umzila). Con isicelo sokudonsa ama-puedes bypassar la reescritura/protección y i-colalas sin filtros. Njengoba ingekho amagama, i-usa herramientas como Param Miner, que pueden adivinar cabeceras internas por diferencias en la respuesta cuando viajan por el túnel.

Incluso sin conocerlas, puedes provocar desacuerdo sobre dónde empieza el cuerpo: si el front cree que parte de tu payload es cabecera, ukufaka phakathi kwabezindaba; el back puede tratarlas como parte de tu parámetro y reflejarte esos valores. I-Esta técnica es útil incluso cuando el túnel es ciego y solo recuperas una respuesta.

Izimo ezivumayo, el túnel permite un i-cache poisoning avanzado: usando HEAD, mezclas cabeceras de una respuesta con Indawo ekhombisayo de otra y consigues que navegadores tolika el contenido como HTML/JS, tomando control persistente de rutas cacheadas.

I-Primitivas eyengeziwe: ama-duplicados, :scheme y división de nombres

I-HTTP/2 ivumela izimo ezingenakukwazi ukugcwaliseka ku-H1: he visto servidores que aceptan multiples :indlela y usan uno u otro de forma inconsistente, abriendo vías de devío de ruta. I-También existe la coexistencia de :igunya y Umsingathi; al poder faltar uno u otro, ovelayo isihloko se-Host Host cambiando cómo una capa u otra resuelve el destino.

La pseudo-cabecera :ihlelo merece atención. Amasistimu we-Algunos asetshenziswa ukuze akhe ama-URL akhiwe ngendlela ehlukile; si puedes escribir bytes arbitrarios, inyectas prefijos de URL, izindlela ze-cambis y en ocasiones envenenas caches o provocas SSRF sise utiliza para i-petición aguas abajo.

Enye indlela yi- disión del nombre de cabecera permitiendo dos puntos en el nombre. Ayikho i-siempre genera desync porque el downgrade añade otro : okokugcina, pero sí favorece kanye ne-Host cuando los servidores ignoran lo que sigue al puerto. Si el back tolera rarezas, i-puedes forzar lineas de petición válidas inyectando espacios en :indlela (observado en combinaciones con mod_proxy) para saltarte bloqueos de rutas.

Ngokwesibonelo, hay back-ends que aún soportan ukugoqa umugqa nge H1. Si el front-end acepta nombres de cabecera que empiezan con espacio y no ordena cabeceras, puedes i-contaminar cabeceras posteriores (incluidas internas). Se han visto ejemplos donde el Isicelo-Id reflejado terminaba mostrando datos insertados mediante una cabecera con i-espacio inicial.

I-Herramientas, i-flujo de trabajo y trucos de productividad

Para automatizar, existe un beka i-HTTP/2 ibe lula ku-Turbo Intruder que transforma solicitudes H1 a H2 and aplica mapeos de caracteres útiles para exploits: ^ → \r, ~ → \n, ` → :. ungakwazi ngisho sobrescribir pseudo-cabeceras declarándolas como cabeceras H1 ficticias y controlar así el downgrade en servidores risks. I-Para pruebas con callbacks y detección avanzada de interacciones puedes sebenzisa u-Burp Collaborator en flujos automatizados.

Si el stack H2 minimalista no se lleva bien con algún objetivo, puedes i-invocar el stack nativo de Burp desde Turbo Intruder (Injini.BURP2), que es más tolerante con comportamientos raros. Burp Scanner kanye nezandiso como Umshushumbisi Wesicelo se-HTTP ya integran detecciones de estas variantes (incluida la de Túnel con HEAD), y Param Miner ayuda a descubrir cabeceras internas por diferencias de respuesta.

Ngokuvumelana ne estabilidad, vigila la reutilización de conexiones: i-algunos targets tratan la primera petición de forma distinta o se quedan con sockets corruptos. En Burp Repeater puedes deactivar la reutilización H2, y zu Turbo Intruder ajuster requestsPerConnection para evitar que efectos residuales distorsionen tus pruebas.

En la interfaz real de Burp (nuevos Inspectores), el control de la versión HTTP está en Cela izibaluli arriba a la derecha. I-Cambiar el método dentro del cuerpo ya ayinamphumela como ocurría en versiones antiguas; ahora se maneja todo desde la vista del Inspector y la lógica de protocolo.

I-Ejercicio práctico con Burp: I-CRLF kanye nezinhlobo ze-cabecera kanye ne-túnel a/admin

qala ngo a THOLA / zu Okuphindaphindayo, yiba i-H2 en Cela Izibaluli y añade una cabecera arbitraria. En el Igama, inyeka un I-CRLF i-colar un Host okungeziwe, ngokwesibonelo: foo: bar\r\nHost: abc nokuthi kanjani I-Valor pon algo inocuo. Si la respuesta recciona a tu Host inyectado, unokuqinisekisa i-inyección de CRLF vía nombres de cabecera.

I-Localiza un endpoint que refleje parámetros (como un search). I-Cambia el método con clic derecho (Shintsha indlela yokucela) futhi uqinisekise que la búsqueda funciona con POST enviando search en el cuerpo. Ahora, en la cabecera arbitraria, inyecta un Okuqukethwe-Ubude obukhulu futhi a segundo parámetro search khipha i-doble CRLF, isibonelo: foo: bar\r\nContent-Length: 500\r\n\r\nsearch=x.

U-Rellena el cuerpo uthishanhloko con datos de relleno hasta superar el Content-Length smuggleado. Al enviar, la aplicación reflejará cabeceras añadidas por el front-end (amakhukhi esión, amafulegi SSL y, lo importante, una clave única de front-end) i-dentro de la respuesta.

Cambia el método ebonakalayo a HEAD y en la cabecera maliciosa smugglea una petición GET al panel de administración con las cabeceras internas que has aprendido: \r\n\r\nGET /admin HTTP/1.1\r\nX-SSL-VERIFIED: 1\r\nX-SSL-CLIENT-CN: administrator\r\nX-FRONTEND-KEY: TU-CLAVE\r\n\r\n. Sithola iphutha amabhayithi awanele, apunta a un recurso con i-cuerpo más corto (ngokwesibonelo, /login) para que el front-end sobre-lea y te muestre el inicio de la segunda respuesta kanye ne-H2.

I-respuesta i-anidada podrás localizar ye-URL yokuphatha enengqondo (isibonelo, /admin/delete?username=carlos) futhi realizar la ruta de la petición smuggleada. I-Aunque la respuesta ebonakalayo puede ser de error, la acción se ejecuta porque ha viajado por el túnel hasta el back-end con las credenciales internas correctas.

Este ejemplo agrupa imibono ehlukahlukene: I-CRLF en nombre de cabecera en H2, abuso de Content-Length en yehlisa, confirmación con HEAD kanye nokusetshenziswa kwe cabeceras internas inyectadas por el front para alcanzar un panel restringido.

La combinación de conocimientos de protocolo, Umhloli de Burp para H2, y técnicas de desync te permite cubrir vectores que van desde el ukushushumbisa i-clásico reimaginado kuze kube ubuthi de caché persistente, ukuhamba imfucuza ye-PII kanye ne-JavaScript ekhishwe kwezinye izingxenye eziphelele. Con ajustes bien medidos (protocolo por defecto, reutilización de conexiones, overrides de ALPN) kanye ne-práctica kanye ne-Repeater e Inspector, i-tendrás control real sobre cómo viajan tus peticionees futhi mayelana cómo se rompen las asunciones entre capas thola i-HTTP/2 ne-HTTP/1.