该版本为BURP的HTTP/2支持提供了一系列强大的新增强功能。这使您能够识别并利用许多HTTP/2独家漏洞，包括James Kettle在Black Hat USA 2021上提出的漏洞。它还为嵌入式浏览器设置了安全修复程序，并针对记录的登录序列进行了一些较小的错误修复。

控制单个请求的协议

在Burp Repeater和代理拦截中，您现在可以选择使用HTTP/1或HTTP/2发送每个请求。当您切换协议时，BURP将自动执行幕后必要的转换，以生成适合新协议的等效请求。例如，将HTTP/1请求行映射到HTTP/2：方法和：小路伪头。

这使您可以轻松升级和降级请求来尝试特定于协议的漏洞。

测试HTTP/2-排定漏洞

我们很高兴地宣布Burp Suite专业人士现在，社区版为查看和操纵HTTP/2请求提供了本地支持。

除了您可以在消息编辑器中看到的请求的http/1式表示，检查员现在可以让您使用http/2标头和伪标头工作，以更类似于发送到发送到的内容服务器。由于此视图不依赖于HTTP/1语法，因此您可以使用许多在HTTP/1中不可能复制的HTTP/2级别向量构建攻击。这使您有机会探索一个全新的攻击表面，由于到目前为止完全缺乏任何合适的工具，该攻击表面几乎没有审核。

有关可能可能发生的实际示例，请查看James Kettle的最新研究的白皮书，http/2：续集总是更糟他最近在美国2021年的Black Hat USA上发表了演讲。

BURP的消息编辑器仍然使您可以使用请求的HTTP/1式表示，并将其转换为引擎盖下的等效HTTP/2。这非常适合执行您使用的协议并不重要的一般测试。

有关这些功能的更多信息，配置选项以及某些HTTP/2基本原理的细分，请参阅随附的文档

新的HTTP/2扫描检查

除了新的手册HTTP/2工具外，此版本还为HTTP/2特定的改进增加了bepaly下载 ：

  • 两种新的HTTP/2-排定方法，使转移编码标头构成HTTP请求走私。
  • 一种新的检测方法http/2请求隧道。
  • 对“隐藏” HTTP/2支持的新扫描检查。扫描仪现在可以检测到服务器何时支持HTTP/2，但在TLS握手期间不会在ALPN中做广告。

当服务器端对策限制对服务器的影响时请求隧道。

这些增强也基于詹姆斯的研究。

嵌入式浏览器安全修复程序

我们已经更新了Burp Suite的嵌入式浏览器，以修复Burp Suite中的基于点击夹克的远程代码执行错误，如我们的Bug Bounty Program所报告的@mattaustin和@Danamodio。我们已更新为Chromium 92.0.4515.131，该铬修复了Google已归类为的几个错误高的

Bug修复

该版本修复了几个错误，这些错误应提高记录的登录播放的可靠性。