CVE-2023-44487 (HTTP/2 Rapid Reset)

توجد بعض الأمثلة في هذا المستودع لم يتم اختبارها بالكامل لتحليل التأثير، لكنني أردت فقط تنفيذ فكرة هذا الهجوم (بدء العديد من التدفقات وإرسال إطار RST_STREAM فورًا لتجنب الوصول إلى MAX_CONCURRENT_STREAMS).

H2SpaceX

أستخدم مكتبة H2SpaceX منخفضة المستوى لـ HTTP/2 والتي أنشأتها لاستغلال هجوم الحزمة الواحدة (Single Packet Attack).

أمثلة

• يوجد مثالان:
  • المثال 1
    • إرسال 10000 طلب GET وإرسال إطارات RESET STREAM بعد كل طلب فورًا
  • المثال 2
    • إرسال 100000 طلب POST (باستخدام تقنية هجوم الحزمة الواحدة) مما يجعل الخادم ينتظر البايت الأخير، ثم إرسال إطار RESET STREAM بعد كل طلب
    • يستخدم هذا المثال أيضًا تقنية threading لفتح المزيد من اتصالات H2.

اقرأ وافعل المزيد

• افعل المزيد
  • يمكنك قراءة المزيد حول استخدام H2SpaceX لإرسال الإطارات الخام.
  • مثال البدء السريع لهجوم الحزمة الواحدة
  • H2Frames
• اقرأ المزيد
  • هجوم HTTP/2 Rapid Reset من Cloudflare
  • العديد من المراجع في cve.org