HTTP/2 快速重置 DDOS 漏洞几乎影响所有网站


一种新形式的DDOS的细节,它需要相对最少的资源来发起前所未有的规模的攻击,这使得网站成为一个明显的危险,因为服务器软件公司竞相发布补丁来防范它。

HTTP/2 快速重置漏洞
该漏洞利用了 HTTP/2 和 HTTP/3 网络协议,这些协议允许多个数据流进出服务器和浏览器。

这意味着浏览器可以从服务器请求多个资源并将它们全部返回,而不必等待每个资源一次下载一个。

Cloudflare、Amazon Web Services (AWS) 和 Google 公开宣布的漏洞称为 HTTP/2 快速重置。

绝大多数现代 Web 服务器都使用 HTTP/2 网络协议。

由于目前没有软件补丁来修复 HTTP/2 安全漏洞,这意味着几乎每台服务器都容易受到攻击。

新漏洞利用且无法缓解它称为零日漏洞利用。

好消息是,服务器软件公司正在努力开发补丁来弥补 HTTP/2 的弱点。

HTTP/2 快速重置漏洞的工作原理

HTTP/2 网络协议具有服务器设置,允许在任何给定时间发出一定数量的请求。

超过该数量的请求将被拒绝。

HTTP/2 协议的另一个功能允许取消请求,这会将该数据流从预设的请求限制中删除。

这是一件好事,因为它可以释放服务器来转身处理另一个数据流。

然而,攻击者发现,有可能向服务器发送数百万(是的,数百万)个请求和取消并使其不堪重负。

HTTP/2 快速重置有多糟糕?

HTTP/2 快速重置漏洞非常糟糕,因为服务器目前没有防御措施。

Cloudflare指出,它已经阻止了一次DDOS攻击,该攻击比历史上最大的DDOS攻击大300%。

他们阻止的最大请求超过了每秒 2.01 亿个请求 (RPS)。

谷歌报告了超过 3.98 亿 RPS 的 DDOS 攻击。

但这还不是这个漏洞有多糟糕的全部。

更糟糕的是,发起攻击需要相对微不足道的资源。

这种规模的DDOS攻击通常需要数十万到数百万台受感染的计算机(称为僵尸网络)才能发起这种规模的攻击。

HTTP/2 快速重置漏洞利用只需要 20,000 台受感染的计算机即可发起攻击,其规模是有史以来最大的 DDOS 攻击的三倍。

这意味着黑客获得发动毁灭性DDOS攻击能力的门槛要低得多。

如何防止 HTTP/2 快速重置?

服务器软件发行商目前正在努力发布补丁以修复 HTTP/2 漏洞利用漏洞。Cloudflare 客户目前受到保护,不必担心。

Cloudflare建议,在最坏的情况下,如果服务器受到攻击且毫无防御能力,服务器管理员可以将HTTP网络协议降级为HTTP/1.1。

降级网络协议将阻止黑客继续攻击,但服务器性能可能会变慢(至少比离线要好)

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值