wlor0623/http2-bomb-detectorHTTP/2 Bomb (CVE-2026-49975) كاشف ثغرات غير مدمر لـ Nginx / Apache httpd. Python بدون أي تبعيات خارجية.
HTTP/2 Bomb (CVE-2026-49975) أداة فحص ثغرات غير تدميرية — موجّهة إلى Nginx / Apache httpd
CVE-2026-49975 هي ثغرة رفض خدمة عن بُعد واسعة النطاق في طبقة بروتوكول HTTP/2، اكتشفها الباحث الأمني Quang Luong. تستغل الثغرة خللًا تصميميًا في الجمع بين ضغط رؤوس HPACK وآلية التحكم في التدفق، حيث يمكن للمهاجم استنزاف 32GB من ذاكرة الخادم خلال 10-20 ثانية دون الحاجة إلى مصادقة.
| الخادم | الإصدارات المتأثرة | نسبة التضخيم | حالة الإصلاح |
|---|---|---|---|
| Apache httpd | 2.4.17 – 2.4.67 (mod_http2 < 2.0.41) | ~4,000:1 | ✅ تم الإصلاح |
| Nginx | < 1.29.8 | ~70:1 | ✅ تم الإصلاح |
| Envoy | ≤ 1.37.2 | ~5,700:1 | ❌ لم يتم الإصلاح |
| Microsoft IIS | يشمل Windows Server 2025 | ~68:1 | ❌ لم يتم الإصلاح |
| Cloudflare Pingora | ≤ 0.8.0 | ~62:1 | ❌ لم يتم الإصلاح |
تعتمد هذه الأداة على PoC حقيقي وتستخدم وضعين للكشف:
يكتشف قنبلة مراجع الفهرس في HPACK: يقوم بإدراج إدخال جدول ديناميكي ("a", "")، ثم يرسل مراجع الفهرس. كل مرجع يستهلك 1 بايت على الشبكة → 59 بايتًا من ذاكرة الخادم (3B نسخة تجمّع + 56B ngx_table_elt_t). معامل الهجوم refs=32000، بينما يستخدم الفحص refs=3 فقط.
يكتشف قنبلة دمج فتات الكوكيز: يستغل آلية دمج الكوكيز في mod_http2 (apr_table_setn يربط الكوكيز المكررة بـ "; ")، ولا تُحتسب الكوكيز المدمجة ضمن LimitRequestFields. معامل الهجوم refs=4091 (تضخيم ~4000:1)، بينما يستخدم الفحص refs=3 فقط.
ENHANCE_YOUR_CALM → 🛡️ تم نشر الحمايةRST_STREAM → 🛡️ محميGOAWAY → 🛡️ محميبلا أي تبعيات، يستخدم فقط مكتبة Python القياسية (ssl, socket, struct).
git clone https://github.com/adminlove520/http2-bomb-detector.git
cd http2-bomb-detector
يتطلب Python 3.7+.
# 自动检测（Nginx + Apache 两种模式）
python http2_bomb_detector.py --host example.com
# 指定模式
python http2_bomb_detector.py --host example.com --mode nginx
python http2_bomb_detector.py --host example.com --mode httpd
# 指定端口
python http2_bomb_detector.py --host example.com --port 8443
# 仅输出漏洞信息，不发送探测包
python http2_bomb_detector.py --host example.com --no-probe
# JSON 格式输出
python http2_bomb_detector.py --host example.com --json
# 从文件读取目标列表
python http2_bomb_detector.py -f targets.txt
# 输出报告
python http2_bomb_detector.py -f targets.txt -o report.txt
تنسيق targets.txt (هدف لكل سطر، والخط الذي يبدأ بـ # هو تعليق):
# Web 服务器列表
example.com
https://example.org:8443
192.168.1.100
[INFO] 连接 example.com:443 ...
[OK] HTTP/2 连接建立
[INFO] --- NGINX 模式检测 ---
[INFO] 攻击向量: HPACK 索引引用炸弹：动态表项 ('a','') × 32000 引用
[INFO] 修复版本: 1.29.8 | 放大比: ~70:1
[INFO] 发送探测包 (refs=3, 非破坏性)...
[WARN] ⚠️ 服务器静默接受探测包 — 可能受影响！
[INFO] --- HTTPD 模式检测 ---
[INFO] 攻击向量: Cookie crumb 合并炸弹：空 cookie × 4091 引用
[INFO] 修复版本: mod_http2 2.0.41 / httpd 2.4.68 | 放大比: ~4000:1
[INFO] 发送探测包 (refs=3, 非破坏性)...
[OK] 服务器 RST_STREAM 拒绝探测流 — 有防护
==================================================
🛡️ NGINX: potentially_vulnerable
⚠️ HTTPD: protected
هذه الأداة مخصصة فقط لاختبار الاختراق المصرح به. قد يؤدي استخدامها لفحص أهداف غير مصرح بها إلى انتهاك القانون. يتحمل المستخدم كامل المسؤولية القانونية.
MIT