Turbo Intruder para Burp Suite ganha suporte a HTTP/3

A PortSwigger anunciou que o Turbo Intruder agora suporta HTTP/3. Segundo a fonte, a extensão passa de 100.000 requisições por segundo (RPS) em Wi-Fi, a partir de um laptop e contra um host remoto. Rodando de uma máquina na nuvem, na mesma região do alvo, o melhor resultado do autor foi de cerca de 180.000 RPS. Para comparação, em Embracing the Billion Request Attack o limite foi de 30.000 RPS sobre HTTP/1.1.

Há também o novo engine AUTO (Burp Suite Professional), que escolhe a maior versão de HTTP disponível e ajusta os parâmetros durante o ataque. Ele não suporta pipelining de HTTP/1.1 e não é recomendado para ataques de desync (nesse caso, use o engine BURP). Na Community Edition, os ajustes são manuais: aumente cada valor até o RPS estabilizar ou surgirem falhas. O engine HTTP3 traz duas técnicas de race condition, a Single Datagram Attack e a Server-Side Race Orchestration via QPACK Blocked Streams, ambas no sistema de gates (gateMode). Há ainda suporte a requisições kettled e uma segunda extensão, a HTTP/3 Adapter, que converte o tráfego HTTP/1.1 ou HTTP/2 do Burp para HTTP/3 e permite testar sites que só falam HTTP/3.

Para quem faz pentest ou bug bounty, isso significa que superfícies só acessíveis por HTTP/3 deixam de ser ponto cego. Para quem defende, vale a leitura de que testes de race condition e injeção em downgrade para HTTP/1 passam a ser mais fáceis de executar contra seus serviços. Convém revisar se o ambiente com HTTP/3 habilitado recebe o mesmo nível de teste e monitoramento que o tráfego HTTP/1.1 e HTTP/2, e se os limites de taxa aguentam volumes dessa ordem.