GitHub上有研究人员分享BurpSuite分块传输辅助插件

近期，白帽汇安全研究院发现GitHub上有研究人员分享基于Burpsuite的分块传输辅助插件。

分享地址：https://github.com/c0ny1/chunked-coding-converter

Chunk分块传输方法是一种有效的绕过WAF的Web攻击手段。其原理是利用Transfer-Encoding: chunked这个HTTP请求头，当HTTP请求中含有这个请求头时，则传输的数据全部可进行分块编码，如下图所示，“1 and 1=1”会被分块成如下数据包：

图片来源：https://www.freebuf.com/news/193659.html

其中不同的分块排列需要满足一个很复杂的排列方法，这样整个HTTP请求才会被正常解析。而处理后的HTTP请求由于和已知的payload相差较大，所以可以起到一定的绕过WAF的效果。

插件菜单：

插件配置：

参考：

• 利用分块传输吊打所有WAF
• 在HTTP协议层面绕过WAF
• 编写Burp分块传输插件绕WAF