چرا باید همیشه از نسخه‌ی Repeater بدون Auto-Update Content-Length استفاده کنید
یک نکته‌ی ابزاری کوچک اما حیاتی که در تست کلاس‌هایی مثل Request Smuggling، نادیده‌گرفتنش کل نتیجه را خراب می‌کند.
ابزارهایی مثل Burp Repeater به‌طور پیش‌فرض هدر Content-Length را بر اساس طول واقعی بدنه‌ی درخواست خودکار تنظیم می‌کنند. این رفتار برای اکثر تست‌ها مفید است، اما برای کلاس‌هایی مثل HTTP Request Smuggling که دقیقاً به تناقض عمدی بین هدرهای طول بدنه نیاز دارند، همین «کمک خودکار» ابزار، payload شما را خراب می‌کند.
قاعده‌ی کلی
قبل از تست هر کلاس آسیب‌پذیری که به دستکاری دقیق هدرهای HTTP نیاز دارد (Smuggling، گاهی Host Header Injection)، همیشه این گزینه‌ی auto-update را غیرفعال کنید و مقدار دقیق را خودتان حساب و وارد کنید.
درس بزرگ‌تر
ابزارهای تست نفوذ برای «استفاده‌ی راحت» ساخته شده‌اند، نه همیشه برای «دقت پروتکلی کامل». شناخت دقیق کاری که ابزار پشت‌صحنه انجام می‌دهد، به همان اندازه‌ی شناخت خودِ آسیب‌پذیری اهمیت دارد.