search

yaklang / yakit

Cyber Security ALL-IN-ONE Platform
GNU Affero General Public License v3.0
6.57k stars 827 forks source link

WebSocket 实时预览无法看到明文或16进制数据不能完整恢复问题 #568

Closed tarihub closed 1 year ago

tarihub commented 1 year ago

如下图为发送一个WebSocket数据包

["CONNECT\naccept-version:1.1,1.0\nheart-beat:10000,10000\n\n\u0000"]
image

但返回包无法辨别任何东西，通过WireShark抓包对比，发现 \x8c \xf6 等部分数据是对的上的，但有的无法对上。数据帧详情界面更是全是乱码

image
tarihub commented 1 year ago

服务端代码：https://github.com/spring-guides/gs-messaging-stomp-websocket/tree/main/complete

顺便尝试了一下BurpSuite的WebSocket靶场，也是乱码

image
WAY29 commented 1 year ago

image 测试了一下burp的websocket靶场，似乎没有问题

WAY29 commented 1 year ago

看起来似乎是yakit中暂时未实现 permessage-deflate这个websocket扩展导致的乱码，后续会修复这个问题

tarihub commented 1 year ago

image

测试了一下burp的websocket靶场，似乎没有问题

那奇怪了 不知是不是macos的问题，晚点我试试我win上是不是正常的

WAY29 commented 1 year ago

已经在最新版yak引擎修复

tarihub commented 1 year ago
image

服务端低版本的可尝试