WebSocket
Полноценная работа с WebSocket как с HTTP: перехват и правки, match & replace по сообщениям, фаззинг полезной нагрузки в Strike, OAST через Echo и шаги над WebSocket в тех же автоматических сценариях Chain, что и для HTTP.
| # | URL | Msgs | Sent | Recv |
|---|---|---|---|---|
| 1 | wss://vulnweb.karmagate.com/ws/chat | 12 | 1.2 KB | 4.8 KB |
| 2 | wss://vulnweb.karmagate.com/ws/notifications | 5 | 256 B | 1.1 KB |
| 3 | wss://vulnweb.karmagate.com/ws/orders | 24 | 3.4 KB | 12.7 KB |
Полноценный объект пентеста
Перехват и история
Те же привычные вкладки Gate: HTTP и WebSocket рядом. Полная история кадров, фильтры и аннотации — без отдельного «режима просмотра».
Match & replace по кадрам
Правьте исходящие и входящие сообщения так же осмысленно, как HTTP-запросы — на лету и по правилам.
Фаззинг в Strike
Пропускайте содержимое WS-сообщений через тот же высокоскоростной движок, что и REST: 1000+ запросов/сек, четыре режима атаки.
OAST через Echo
Отслеживайте слепые взаимодействия по WebSocket — встроенный OAST-сервер ловит обратные вызовы в реальном времени.
Связка с Chain
Шаги над WebSocket живут в одной цепочке с HTTP — общий контекст, извлечение данных и условная логика.
Полная поддержка HTTP/2
Современный стек подключений: WebSocket поверх HTTP/2, бинарные и текстовые кадры, корректная работа с прокси и WAF.
Что можно тестировать через WebSocket
Чаты и messaging
Перехват личных сообщений, обход проверок прав и подмена идентификаторов отправителя.
Realtime-приложения
Тестирование игровых движков, дашбордов и трейдинговых систем — состояния и race conditions.
GraphQL-подписки
Фаззинг подписок, проверка авторизации событий и утечек данных через WS-каналы.
Двусторонние API
Атаки на bidirectional-протоколы: подмена команд, повторное использование токенов, инъекции.
KarmaGate vs другие прокси
WebSocket в KarmaGate — не отдельный режим «просто посмотреть», а полноценный объект пентеста.
Проверьте live-трафик в Gate
Откройте WebSocket рядом с HTTP и собирайте сценарии в Chain, не выходя из KarmaGate.