desync_fuzzer — Công cụ dò HTTP Request Smuggling & Host-Header Injection

desync_fuzzer là công cụ kiểm thử bảo mật chuyên dụng, phát hiện hai lớp lỗ hổng nguy hiểm và thường bị bỏ sót nhất trên hạ tầng web hiện đại: HTTP Request Smuggling (desync) và Host-Header Injection. Khác với các script dò một chiều dễ báo nhầm, desync_fuzzer được xây dựng quanh một tầng xác minh bằng thống kê — mỗi phát hiện đều được kiểm chứng lại nhiều lần trước khi báo cáo, giúp loại bỏ gần như toàn bộ false positive.

Vì sao chọn desync_fuzzer

Phát hiện chính xác nhờ thống kê, không phải đoán mò. Dùng kiểm định Mann–Whitney U kết hợp robust MAD z-score. Một lỗ hổng chỉ được xác nhận khi vượt qua đồng thời 3 cổng: có ý nghĩa thống kê, độ trễ thực tế đủ lớn, và nằm ngoài dải nhiễu của chính máy chủ mục tiêu.

Bộ probe rộng. 28 biến thể Request Smuggling (CL.TE / TE.CL) phủ 14 kỹ thuật làm rối header Transfer-Encoding, cùng đầy đủ các chiêu Host-Header (absolute-URI, duplicate/folded Host, X-Forwarded-Host, Forwarded…) với canary ngẫu nhiên để quy trách nhiệm chính xác cho từng request.

Phát hiện HTTP/2 downgrade — khoanh vùng ranh giới h2→h1, nơi phát sinh lớp smuggling mới nhất.

Quét song song, nhanh. Kiến trúc đa luồng rút ngắn thời gian quét xuống còn một phần nhỏ.

Báo cáo chuyên nghiệp. Xuất HTML và JSON kèm hướng dẫn khắc phục và tài liệu tham chiếu cho từng lỗ hổng — bàn giao được ngay cho khách hàng.

Hai giao diện. Ứng dụng desktop (GUI) có hướng dẫn tích hợp, và CLI mạnh mẽ cho tự động hóa / CI.

Chạy mọi nơi. Thuần Python, không phụ thuộc nặng — cài đặt được cả trên VM pentest bị khóa chặt, CI runner hay môi trường air-gapped.

Thiết kế có trách nhiệm

desync_fuzzer dùng kỹ thuật dò dựa trên thời gian — chỉ đo độ trễ trên chính kết nối của bạn, không gửi request “chèn” vào hàng đợi của người dùng khác. Mọi phiên quét đều yêu cầu xác nhận quyền kiểm thử trước khi chạy.

⚠️ Chỉ dành cho kiểm thử bảo mật được ủy quyền. Người dùng chịu trách nhiệm có quyền kiểm thử đối với mọi mục tiêu.